1. 数据包捕获：获取原始流量数据
在CentOS上进行数据分析的第一步是捕获网络数据包，常用工具为tcpdump（命令行）或Wireshark（图形化）。tcpdump通过指定网络接口（如eth0）和过滤条件（如port 80捕获HTTP流量）捕获数据，可使用-w参数将数据保存为.pcap文件（如sudo tcpdump -i eth0 port 80 -w capture.pcap）；Wireshark则通过选择网络接口并点击“开始捕获”实时获取流量，支持实时过滤（如http.request.method == GET）。捕获时可根据需求调整参数（如-s 0捕获完整数据包，避免截断）。
2. 数据过滤：缩小分析范围
捕获的原始数据包通常包含大量无关信息，需通过过滤提取目标流量。tcpdump支持BPF（Berkeley Packet Filter）语法，可实现精确过滤：
src host 192.168.1.100（仅捕获来自该IP的流量）、tcp port 443（仅捕获HTTPS流量）；src host 192.168.1.100 and tcp port 80（同时满足源IP和端口的流量）；tcp[tcpflags] & (tcp-syn|tcp-ack) != 0（捕获TCP三次握手的SYN/ACK包）。Wireshark的过滤功能更直观，分为捕获过滤器（捕获阶段筛选，如ip.addr == 192.168.1.1）和显示过滤器（分析阶段筛选，如http.response.code == 404），支持逻辑运算符（and、or、not）组合复杂条件。3. 协议与内容解码：理解数据包细节
过滤后的数据包需解码以查看协议层次和具体内容。tcpdump通过-v（详细）、-vv（更详细）选项显示协议信息（如IP头部的TTL、TCP头部的窗口大小），-x选项以十六进制和ASCII显示数据包内容（如sudo tcpdump -nn -vv -x -r capture.pcap）。Wireshark则自动解码数据包的各层协议（以太网→IP→TCP→HTTP），可通过“Packet Details”面板展开查看：
tcpdump -r http.pcap -A | grep "GET /"可提取HTTP请求的URL）。4. 统计分析：宏观把握流量状况
通过统计工具可快速了解网络流量的整体情况，识别异常模式。tcpdump结合awk等工具可实现简单统计，如sudo tcpdump -i eth0 src host 192.168.1.100 -c 100 | awk '{print $3}'（统计特定IP的数据包数量）。Wireshark的“Statistics”菜单提供丰富的统计功能：
5. 异常行为识别：检测安全威胁与性能问题
数据分析的核心目标是识别异常，常见场景包括：
tcp[tcpflags] & tcp-syn != 0 and tcp[tcpflags] & tcp-ack == 0（SYN泛滥攻击，大量SYN包无ACK响应）、udp（大量UDP流量可能为DDoS攻击）等条件，结合数据包数量（如1分钟内超过1000个SYN包）判断是否为攻击；tcpdump -r http.pcap 'tcp[tcpflags] & (tcp-syn|tcp-ack) != 0'），若SYN到SYN-ACK的时间超过100ms，可能存在网络拥塞；tcp[tcpflags] & tcp-ack != 0（重传包），若重传率超过5%，说明网络不稳定或服务器处理慢；Wireshark的“Follow TCP Stream”跟踪HTTP请求/响应，查看状态码（如大量404表示资源不存在）、响应时间（如T2-T1超过2s表示服务器处理慢）。6. 自动化与定制化：提升分析效率
对于重复性分析任务，可通过脚本实现自动化。tcpdump的输出可通过管道传递给grep、awk等工具，如sudo tcpdump -i eth0 -nn | grep '192.168.1.1' > filtered_output.txt（提取特定IP的流量并保存到文件）。Wireshark支持Lua和Python脚本，可编写自定义过滤规则（如提取特定格式的HTTP请求）或自动化统计（如生成每日流量报告），适合大规模网络环境。
