4. 网络流量采集：NetFlow/sFlow协议、流量数据字段解析、采集工具对比
网络流量采集，说白了就是给网络装个“黑匣子”。你想想看，网络里跑着成千上万的数据包，出了事你总得知道是谁在什么时候、跟谁通信、发了多少东西吧？NetFlow和sFlow就是干这个的。我在项目中遇到过好几次，业务部门投诉网络慢，结果一查流量，发现是某台服务器在疯狂往外发数据——嗯，被入侵了。
4.1 NetFlow与sFlow协议：两个流派的故事
先说说NetFlow。这是Cisco搞出来的东西，现在已经是行业标准了。它的核心思路是“流”——把具有相同五元组（源IP、目的IP、源端口、目的端口、协议）的数据包归为一个流，然后统计这个流的特征。我习惯把NetFlow比作“记账本”：只记每笔交易的摘要，不记每笔交易的明细。
NetFlow有几个版本，现在主流是v5和v9。v5是固定格式，字段位置写死了；v9是模板化设计，灵活很多。我个人建议新项目直接上v9或IPFIX（NetFlow v10），因为扩展性好。
再来看sFlow。这玩意儿走的是另一条路——采样。它不统计所有包，而是按一定比例（比如1:1024）随机抓取样本。说白了就是“抽样调查”。sFlow的优势在于开销小，适合超高速网络（比如10Gbps以上）。但代价是精度不够，小流量可能被漏掉。
核心区别一句话总结：NetFlow做全量统计，sFlow做采样统计。选哪个？看你的网络规模和精度要求。
4.2 流量数据字段解析：你到底能拿到什么？
不管是NetFlow还是sFlow，最终我们拿到的都是一张“流量记录表”。我列一下最常用的字段，你在实战中基本都会用到：
| 字段名 | 说明 | 典型用途 |
|---|---|---|
| SRC_IP | 源IP地址 | 定位攻击源 |
| DST_IP | 目的IP地址 | 定位攻击目标 |
| SRC_PORT | 源端口 | 识别应用类型 |
| DST_PORT | 目的端口 | 识别服务类型 |
| PROTOCOL | 协议号（6=TCP, 17=UDP） | 区分协议类型 |
| PACKETS | 流中的数据包数量 | 判断流量大小 |
| BYTES | 流中的字节数 | 计算带宽占用 |
| FIRST_SWITCHED | 流开始时间 | 时间线分析 |
| LAST_SWITCHED | 流结束时间 | 持续时间计算 |
| TCP_FLAGS | TCP标志位 | 检测扫描行为 |
我的小技巧：做异常检测时，重点关注PACKETS/BYTES比值。如果包数很多但字节数很少，大概率是小包攻击（比如SYN Flood）。我曾经靠这个特征抓到一个DDoS攻击源，一查发现是台被控的摄像头。
4.3 采集工具对比：选对工具，事半功倍
市面上采集工具不少，我挑几个常用的说说。先看一张对比表：
| 工具 | 协议支持 | 性能 | 部署难度 | 典型场景 |
|---|---|---|---|---|
| nProbe | NetFlow v5/v9/IPFIX, sFlow | 高（支持多线程） | 中等 | 企业级采集 |
| softflowd | NetFlow v5/v9 | 中等 | 低 | 轻量级采集 |
| pmacct | NetFlow, sFlow, IPFIX | 高 | 中等 | 大规模部署 |
| ntopng | NetFlow, sFlow, IPFIX | 中等 | 低 | 可视化分析 |
| tcpdump | 原始包捕获 | 低（全量捕获） | 低 | 临时调试 |
我个人习惯这样选：
- 小规模环境（<100台设备）：用softflowd + ntopng，部署快，够用。
- 中大规模环境（100-1000台）：上nProbe或pmacct，性能稳，支持高并发。
- 临时排查问题：直接tcpdump抓包，简单粗暴。
避坑指南：我曾经在项目中直接用tcpdump做长期采集，结果磁盘写爆了，业务直接挂了。记住：tcpdump只适合临时调试，别当采集工具用。生产环境一定要用专业的流量采集器。
4.4 核心逻辑：流量采集与异常报警的联动
下面这张图是我自己画的，展示了流量采集到异常报警的完整链路。你看一眼就明白了：
你看，整个链路其实不复杂。网络设备把流量数据通过NetFlow或sFlow协议发出来，采集器收下来做初步处理，然后分析引擎解析字段、做聚合统计，最后匹配规则触发报警。我在项目中经常遇到的问题是：采集器收不到数据。排查下来，八成是网络设备上没开NetFlow/sFlow功能，或者UDP端口被防火墙拦了。
我的经验：刚开始做流量采集时，别急着上复杂规则。先把基础字段（SRC_IP、DST_IP、BYTES）的统计跑通，能画出流量趋势图，再慢慢加异常检测规则。一步到位容易翻车。
好了，这一章就聊到这儿。流量采集是安全预警平台的地基，地基打不牢，后面分析再花哨也没用。你先把NetFlow和sFlow的区别搞清楚，再把字段含义记熟，工具选对，后面做异常报警就顺手多了。
公众号:蓝海资料掘金营，微信deep3321