常见的网络流量模式识别方法
在日常使用路由器、防火墙或监控局域网设备时，经常会遇到需要分析网络流量的情况。比如公司发现某台电脑突然占用大量带宽，或者家庭网络中某个智能设备频繁连接可疑IP，这时候就需要用到网络流量模式识别方法。
基于端口的识别
最基础的方法是看通信使用的端口号。例如HTTP通常走80端口，HTTPS是443，FTP用21。虽然简单直观，但现在很多应用会伪装端口，比如P2P软件跑在80端口上，这种方法就容易误判。
基于协议特征的识别
更进一步的做法是检查数据包内容中的固定字段。比如TLS握手时会有ClientHello，DNS查询有特定的请求结构。通过抓包工具如Wireshark可以提取这些特征字符串进行匹配。
tcpdump -i eth0 port 53 -nn -s 0 -w dns_traffic.pcap这条命令就能把所有DNS流量保存下来，后续做模式分析。
基于机器学习的分类
现在越来越多系统采用模型来识别加密流量。即使看不到具体内容，也能通过数据包大小、发送频率、连接持续时间等行为特征判断是不是视频流、语音通话或文件下载。
举个例子，直播视频通常表现为周期性突发的小数据包，而大文件下载则是长时间稳定的高吞吐。把这些特征输入训练好的随机森林或LSTM模型，就能自动打标签。
利用NetFlow进行汇总分析
企业级设备常启用NetFlow或sFlow功能，它不记录每个包，而是按“会话”聚合信息：源IP、目标IP、传输字节、开始结束时间等。这种结构化数据更适合长期存储和批量分析。
<template id="10">
<field>sourceIPv4Address</field>
<field>destinationIPv4Address</field>
<field>packetDeltaCount</field>
<field>octetDeltaCount</field>
</template>这是NetFlow模板的一个片段，定义了要收集哪些字段。接收端解析后就可以统计出谁在大量传数据。
结合日志与规则引擎
实际部署中，很多人用Suricata或Zeek这类工具，它们内置了大量流量识别规则。比如发现短时间内向多个不同IP发起SSH连接，就触发“暴力破解扫描”告警。
也可以自定义规则：
alert tcp any any -> any 22 (msg:"疑似SSH爆破"; threshold:type both, track by_src, count 10, seconds 60;)意思是如果同一个源IP在60秒内尝试连了10次SSH，就报警。这比单纯看流量大小更有针对性。
小技巧：本地测试识别效果
普通用户也能动手试试。在Linux上装个tshark（Wireshark的命令行版），执行：
tshark -i wlan0 -T fields -e ip.src -e ip.dst -e frame.len -c 100就能看到前100个包的来源、去向和长度。观察刷网页、看抖音、接微信电话时的不同模式，很快就能摸出规律。