流量分析 · Unknown Traffic
Unknown，不应该是网络分析的终点
真正关键的不是"有没有识别出来"，而是"还能不能继续收敛下去"
很多网络问题，其实一开始都没有"名字"。
它可能不是 HTTP、不是 MySQL、不是常见办公应用，甚至连系统自己都无法直接判断它到底属于什么协议。
但真正的问题，往往就藏在这些"未知流量"里。
比如：
• 某台服务器突然持续访问一个陌生 UDP 端口；
• 某个非标准 TCP 端口流量突然增长；
• 某个历史系统长期对外通信，却没人知道它是谁；
• 某个测试服务下线后，流量却始终没有消失；
• 某个异常外联，不属于任何已知应用分类。
很多时候，这类通信最后都会被统一归到：
Other TCP
Other UDP
Unknown Traffic
看起来"统计到了"，但分析往往也到这里结束了。
01｜Unknown，不应该是分析终点
在真实网络里，除了常见业务协议，还存在大量：
• 私有协议
• 厂商自定义服务
• 非标准端口业务
• 临时测试系统
• 历史遗留应用
• 长尾端口通信
这些流量未必能直接归类为标准应用。
但"不知道它是什么"，不代表它不重要。
尤其在以下场景中：
异常外联排查
影子 IT 发现
非备案服务定位
带宽异常分析
安全事件追踪
全流量回溯取证
很多问题，恰恰都是从"未知流量"开始的。
当流量"不知道是什么"的时候，还能不能继续查下去？
02｜比"Unknown"更重要的，是继续收敛
传统的 Unknown 统计，通常只能告诉你：
Unknown TCP 占比 23%
Unknown UDP 占比 11%
但对于运维人员来说，真正需要知道的是：
到底是谁在通信？
使用了哪个端口？
哪台主机在访问？
流量从什么时候开始出现？
是持续通信还是瞬时突发？
是否存在异常外联？
能否进一步回溯原始流量？
如果这些问题无法继续分析，那么"Unknown"本身就会变成新的黑盒。
03｜NetInside 更关注：未知流量是否还能继续追踪
在 NetInside 的未知 TCP / UDP 分析中，系统不会简单把未识别流量停留在"Other TCP / UDP"层面，而是继续按：
• 服务端口
• 主机关系
• 流量规模
• 时间趋势
• 内外部通信对象
进行进一步拆解。
例如：
19001-TCP
15288-UDP
55366-TCP
即使系统暂时无法直接判断其具体业务含义，也仍然能够：
• 查看流量时序变化；
• 关联内部主机与外部地址；
• 分析流入 / 流出流量；
• 统计通信规模；
• 对指定时间段进行收敛分析；
• 下载对应时间窗口的原始流量继续回溯。
图1｜未知TCP应用分析
图2｜未知TCP应用流量分析
Unknown 只是入口，而不是终点。
04｜从"发现异常"，到"定位对象"
很多时候，网络排查最困难的问题不是"没有数据"。
而是：
数据太多，无法收敛。
真正有效的分析，往往需要一步步缩小范围：
发现未知流量
↓
定位异常端口
↓
查看时间趋势
↓
锁定通信时间段
↓
关联内部 / 外部主机
↓
提取对应流量
↓
进入全流量回溯分析
当未知流量能够持续关联：
• 时间
• 主机
• 端口
• 会话
• 原始数据包
它才真正具备排查价值。
图3｜未知UDP应用分析
图4｜未知UDP应用流量分析
05｜很多"异常"，最开始都只是一个陌生端口
在真实环境中：
• Web 服务不一定跑在 80 / 443；
• 管理平台不一定使用标准端口；
• 私有协议往往没有公开特征；
• 厂商系统可能长期运行在自定义端口上。
甚至很多异常通信，一开始只是：
某个不熟悉的 TCP / UDP 端口
如果系统只能看到：
Other TCP
Other UDP
很多问题很难继续深入。
而当未知流量能够被继续拆解、追踪、关联、回溯和下载时，运维与安全分析才真正具备"落地排查"的能力。
已知应用看得见，并不难
真正重要的是：未知流量，也不能变成黑盒
网深科技 NetInside让未知流量不仅"被看见"，更能够继续分析、继续追踪、继续回溯。