ntopng

ntopng -i <if>

Levanta a monitorização de rede com interface web do ntopng, visualizando tráfego, hosts e fluxos em tempo real.

Execute quando quiser visibilidade de rede com interface: o ntopng analisa o tráfego da interface (ou do NetFlow exportado) e apresenta no navegador — hosts com seu tráfego, fluxos, protocolos, portas e alertas de comportamento (varreduras, picos, hosts falando com destinos raros). É a ferramenta do SOC para a foto da rede sem montar um SIEM: o ranking de hosts por volume, o host que fala com um IP externo raro, o protocolo incomum. No hunting, o ntopng é o ponto de partida visual: a anomalia aparece no dashboard e aprofunda-se com os fluxos.

Não use para análise profunda: o ntopng dá a visão de rede (metadados), não o conteúdo — para o payload, use pcap e Zeek. Em interfaces movimentadas, o processo consome recursos proporcionais ao tráfego analisado; capturar uma interface completa em produção exige dimensionar o host. E cuidado com a segurança da própria ferramenta: a interface web expõe dados da rede — implante com autenticação e restrinja à rede de gestão, não exposta. Para histórico longo, exporte os fluxos para nProbe/Elastic; o ntopng só guarda a janela que você configurar.