网络流量监控是服务器安全基线的核心组成部分，需聚焦连接、流量、会话三维度指标，善用系统原生工具（如PerfMon、ss、tcpdump），设定新建连接速率、丢包率、非标端口流量等硬性告警阈值，并保留带哈希校验的原始数据用于追溯。

服务器系统加固中，网络流量监控不是附加功能，而是安全基线的一部分。它能暴露异常连接、横向移动尝试、隐蔽C2通信或资源耗尽攻击，是纵深防御体系里最基础的“眼睛”。不部署流量可视能力，等于在盲区运行关键业务。

明确监控目标：盯住什么才有效

监控不是看总带宽数字，而是聚焦可操作的指标：

• 连接维度：谁（源IP/端口）连了谁（目的IP/端口）、用了什么协议（TCP/UDP/ICMP）、处于什么状态（ESTABLISHED、TIME_WAIT、SYN_RECV）
• 流量维度：每秒字节数（Bytes/sec）、每秒包数（Packets/sec）、错误包（Errors）、丢弃包（Dropped）——这些比“用了多少MB”更能反映底层健康状况
• 会话维度：单个连接持续时间、传输总量、重传率——有助于识别慢速扫描、长连接泄漏或加密隧道滥用

用好系统原生能力：不装新软件也能起步

Windows和Linux都自带轻量级工具，无需额外安装即可快速验证流量行为：

• Windows：用性能监视器（PerfMon）添加Network Interface\Bytes Total/sec计数器，配合TCPv4\Connections Established观察并发连接趋势；导出数据可作基线比对
• Linux：ss -tuln查监听端口，cat /proc/net/dev看各网卡收发字节与错误统计，netstat -s或ip -s link获取详细协议错误汇总
• 两者共通：tcpdump -i eth0 port 22 -w ssh.pcap抓特定端口样本，离线用Wireshark分析载荷特征——适合排查可疑连接

设置最低限度的告警阈值

没有告警的监控等于没有监控。从三个硬性指标开始设防：

• 单IP新建连接速率 > 100次/秒（可能为暴力扫描或DDoS）
• 某接口丢包率持续 > 0.5%（非瞬时抖动，提示物理层或驱动问题）
• 非标准端口（如12345、65000+）上出现持续高流量（可能为后门通信）

这些规则可用脚本+定时任务实现（如Linux用awk解析/proc/net/snmp），不依赖复杂平台，也避免被攻击者轻易绕过。

保留可追溯的原始数据

日志易删，但原始流量包（pcap）和接口统计快照（/proc/net/dev）是取证关键。建议：

• 每天零点自动备份/proc/net/dev和/proc/net/snmp文本快照，保留7天
• 对管理网口或DMZ区网口，启用环形缓冲抓包（如tcpdump -i eth0 -G 3600 -W 24 -w traffic_%Y-%m-%d_%H:%M:%S.pcap），覆盖最近24小时
• 所有采集文件加只读权限，并记录哈希值（sha256sum），防止篡改