ntopng

ntopng -i <if>

Levanta la monitorización de red con interfaz web de ntopng, visualizando el tráfico, los hosts y los flujos en tiempo real.

Ejecútalo cuando quieras visibilidad de red con interfaz: ntopng analiza el tráfico de la interfaz (o del NetFlow exportado) y lo presenta en el navegador — hosts con su tráfico, flujos, protocolos, puertos y las alertas de comportamiento (escaneos, picos, hosts hablando con destinos raros). Es la herramienta del SOC para la foto de la red sin montar un SIEM: el ranking de hosts por volumen, el host que habla con una IP externa rara, el protocolo inusual. En el hunting, ntopng es el punto de partida visual: la anomalía se ve en el dashboard y se profundiza con los flujos.

No lo uses como análisis profundo: ntopng da la vista de red (metadatos), no el contenido — para el payload están el pcap y Zeek. En interfaces ocupadas, el proceso consume recursos proporcionales al tráfico analizado; la captura de una interfaz completa en producción requiere dimensionar el host. Y ojo con la seguridad de la propia herramienta: la interfaz web expone datos de la red — se despliega con autenticación y restringida a la red de gestión, no expuesta. Para el histórico largo, los flujos se exportan a nProbe/Elastic; ntopng solo guarda la ventana que configures.