关键在于对比正常流量模式：syn包无响应、rst异常中断、标志位违例、ip/端口越界、icmp/dns行为异常、包长/ttl/窗口值偏离基线等均属典型异常特征。
识别异常网络数据包，关键不是看“有没有”，而是看“像不像正常流量”——同一时间、同一接口下，对比协议行为、连接模式和字段取值，异常点自然浮现。
看TCP标志位是否违背通信逻辑
TCP三次握手和四次挥手有固定状态流转，偏离即可疑：
- 大量 SYN 包无对应 SYN-ACK 或 ACK：典型 SYN Flood 特征，终端显示连续 Flags [S]，但几乎不见 [S.] 或 [.]
- 高频 RST 包突然中断连接：非业务侧主动断开（如客户端未发 FIN 就收 RST），可能被中间设备拦截或存在连接劫持
- 单独出现 URG 或 FIN+PSH 组合包：非标准应用行为，某些远控木马会用 URG 标志绕过简单检测
- FIN 包后仍持续发数据（seq 不递进但 payload 非零）：违反 TCP 协议语义，常见于畸形攻击载荷或协议栈异常
查源/目的地址与端口组合是否合理
合法通信通常有明确角色和范围，越界即风险信号：
- 内网IP从外网接口入站：如 eth0 收到 src host 192.168.1.100 的包，说明存在 IP 欺骗或路由错误
-
单源IP密集访问数百个不同目标端口（尤其 1–1000 范围）：端口扫描典型表现，命令中可用
portrange 1-1000辅助捕获 - 目的端口为非常规服务端口（如 4444、6667、5555、12345）：与业务无关却高频外连，高度提示反弹 shell 或 IRC 僵尸通信
- 源端口小于 1024 却是 UDP 流量：系统级端口通常由特权进程绑定，非 root 进程伪造低号源端口属异常行为
盯ICMP、DNS等辅助协议的异常模式
这些协议常被滥用作探测、隧道或反射放大，需关注频率、内容与响应一致性：
- ICMP Type 8（Echo Request）请求量突增且无规律：非运维时段大批量 ping，尤其是源地址分散、TTL 高度一致，可能是存活扫描
-
DNS 查询集中指向同一域名但 QTYPE 多变（如 A、AAAA、TXT、MX 交替发出）：常见于 DNS 隧道数据渗出，可用
udp port 53 and src host X.X.X.X定向捕获 - DNS 响应来自非配置 DNS 服务器（如本应由 10.10.10.1 响应，却收到 192.168.5.200 的 reply）：暗示缓存投毒或中间人劫持
- ICMP 目标不可达（Type 3）或超时（Type 11）成批返回：若伴随大量 SYN 发出，说明扫描目标端口全被过滤或主机不存在
比对包长、TTL、窗口值等字段偏离基线
正常业务流量在相同链路下具有统计稳定性，突变值得警惕：
- IPv4 包长恒为 60 字节（纯 IP 头 + TCP 头无选项）：无负载的空连接探测，如心跳保活异常密集，可能为连接池耗尽前兆
- TTL 值异常低（如 1–3）或高度统一（如全是 64/128）：前者提示本地伪造，后者提示工具批量生成（如 nmap 默认 TTL=64）
- TCP 窗口大小长期为 0 或极小（如 1–10）：接收方拒绝继续接收，可能遭遇慢速攻击（Slowloris）或资源耗尽
- UDP 包长固定且为非业务常见值（如 1472、512）：配合 ICMP Fragmentation Needed（Type 3, Code 4）大量出现，指向 MTU 扫描或 Smurf 类反射攻击
