0

今天，我收到了一个 3 亿条目的 netflow 记录 csv 文件，我的目标是通过任何必要的方式将 netflow 数据转换为合成数据包。经过一番研究，我决定 Scapy 将成为这个过程的一个令人难以置信的工具。我一直在摆弄一些命令，并试图创建准确的数据包来描述 netflow 数据，但我很挣扎，非常感谢以前涉足 Scapy 的人的帮助。

这是我的数据集中的一个示例条目：

1526284499.233,1526284795.166,157.239.11.35,41.75.41.198,443,55915,6,1,24,62,6537,1419,1441,32934,65535,

以下是每个逗号分隔值所代表的内容：

开始时间戳（Epoch 格式）：1526284499.233
结束时间戳（Epoch 格式）：1526284795.166
源 IP：157.239.11.35
目标 IP：41.75.41.198
IP 标头协议号：443 (HTTPS)
源端口号：55915
目标端口号：6 (TCP)
IP 标头中的 TOS 值：1 (FIN)
TCP 标志：24 (ACK & PSH)
数据包数：62
字节数：6537
路由器入口端口：1419
路由器出口端口：1441
源自治系统：32934 (Facebook)
目标自治系统: 65535

我目前对该条目的 Scapy 表示： 

>>> size = bytes(6537)  
>>> packet = IP(src="157.240.11.35", dst="41.75.41.200", chksum=24, tos=1, proto=443) / TCP(sport=55915, dport=6, flags=24) / Raw(size)

数据包.show()： 

###[ IP ]### 
  version= 4
  ihl= None
  tos= 0x1
  len= None
  id= 1
  flags= 
  frag= 0
  ttl= 64
  proto= 443
  chksum= 0x18
  src= 157.240.11.35
  dst= 41.75.41.200
  \options\
###[ TCP ]### 
     sport= 55915
     dport= 6
     seq= 0
     ack= 0
     dataofs= None
     reserved= 0
     flags= PA
     window= 8192
     chksum= None
     urgptr= 0
     options= []
###[ Raw ]### 
        load= '6537'

我的困惑：

坦率地说，我不确定这是否正确。我感到困惑的是IP协议头是443，表示HTTPS，但目标端口是6，表示TCP。因此，我不确定是否应该包含 TCP，或者是否包含 proto IP 属性是无偿的。此外，我不确定 Raw() 是否是包含每个数据包大小的正确方法，更不用说我是否以适当的方式定义了大小。

请让我知道我哪里出错了，或者我是否真的奇迹般地为这个特定条目创建了一个完美的合成数据包。太感谢了！

4

1 回答 1

1

我认为这些列可能是错误的。HTTPS 是 TCP 端口 443（通常），所以协议号应该是 6（TCP），其中一个端口应该是 443。我的猜测是 443 是源端口，因为源 IP 属于 Facebook，所以 55915 是目标港口。所以，我认为那里的列有：源 IP、目标 IP、源端口、目标端口、协议。

于 2019-03-05T18:34:19.797 回答