1. 课程导入与工程定位

在企业网络中，防火墙、IDS、终端 EDR 各自记录了一部分通信痕迹，但真正能回答“谁在什么时候和谁通信、传了多少、持续多久、走哪条路径”的，往往是网络设备自身产生的流记录。NetFlow 与 IPFIX 就是承载这类流记录的两套主流标准：前者由 Cisco 提出并广泛部署，后者由 IETF 在 NetFlow v9 基础上标准化（RFC 7011），二者在字段语义、模板机制和导出行为上高度相通。本课程的目标不是单纯讲解协议字段，而是把流记录变成可落地的威胁分析证据链——从设备导出、采集接收、模板解析、字段归一，到会话重建、异常检测与告警研判，形成一条完整的工程链路。

一、流记录为什么能支撑威胁分析

与全流量包捕获（PCAP）相比，流记录是通信行为的“摘要”。一条典型五元组流记录包含源 IP、目的 IP、源端口、目的端口、协议号，再叠加字节数、包数、起止时间、TCP 标志、下一跳、输入/输出接口等字段。它不保存载荷，因此存储成本低、可长期留存，适合做横向对比与基线建模。威胁分析中常见的几类问题，恰好都能在流层面找到线索：

• 扫描与探测：单一源 IP 在短时间内对大量目的端口或目的主机发起连接，表现为“目的端口数/目的 IP 数”异常升高，且单流包数极小。
• 数据外泄：内网主机向外部陌生地址持续上传，表现为出向字节数远大于入向字节数，且发生在非工作时段。
• C2 心跳：固定时间间隔、固定字节规模的周期性小流，目的地址集中且域名解析行为异常。
• 横向移动：内网主机之间出现非常用端口（如 445、3389、5985）的短时密集连接。

这些判断都依赖字段的准确性与时间粒度。因此，工程上必须先把“设备怎么导、采集器怎么收、字段怎么对齐”做扎实，否则后续检测规则会被噪声淹没。

二、NetFlow 与 IPFIX 的关键差异与选择

NetFlow v5 是固定格式，字段有限但解析简单；NetFlow v9 引入模板机制，可自定义字段集合；IPFIX 进一步规范了模板管理、选项模板、企业自定义字段与变量长度编码。实际工程中，路由器、交换机、防火墙可能同时存在多种导出格式。选择与配置时需关注以下参数：

需要特别说明的是：模板是 IPFIX/NetFlow v9 解析的核心。采集器必须先收到模板，才能正确解释后续数据记录。如果采集器重启后未及时收到模板，或模板在传输中丢失，就会出现“有数据但字段错位”的典型故障。工程上通常要求采集器缓存模板并支持模板超时重请求。

三、整体工程框架

本课程围绕一条可复现的分析流水线展开，下图给出从网络设备到威胁告警的完整数据流与关键处理环节。图中同时标出了各环节的输入、输出与常见故障点，便于后续章节逐段深入。

四、学习路径与工程交付物

课程按“协议理解 → 采集部署 → 字段归一 → 检测建模 → 告警运营”推进。每一阶段都对应可检查的交付物，而不是停留在概念层面。例如在采集部署阶段，需要明确导出配置、采样率、模板重发周期与采集器监听端口；在字段归一阶段，需要把不同厂商的字段映射到统一 schema，并记录映射表；在检测建模阶段，需要给出规则阈值、时间窗口与误报抑制策略。

下面给出一份可直接参考的“流分析工程初始化检查表”，用于课程实验环境搭建时逐项确认。表中参数为教学示例值，实际部署需按设备型号与业务规模调整。