端点统计是什么
Endpoints 把抓包按单个地址聚合，列出每个地址的收发包数与字节数，并按协议层分为以太网、IPv4、IPv6、TCP、UDP 等标签页。打开大文件后，它常是第二步动作：找出扫描源、广播风暴来源或流量异常偏大的主机，再顺着地址往下查。
基本信息
| 入口 | Statistics → Endpoints |
|---|---|
| 标签页 | Ethernet / IPv4 / IPv6 / TCP / UDP |
| 排序方式 | 按包数或字节数排序 |
| 应用方式 | 右键端点 → Apply as Filter |
| 附加信息 | TCP 标签页会给出每个地址的会话数量 |
典型使用场景
- 快速找出包数异常高的主机，定位扫描或异常发包
- 按字节数排序发现数据量突出的会话方
- 确认广播与组播流量的比例是否异常
- 统计单个地址的会话数量，识别短连接过多的情况
- 为后续过滤建立目标地址，缩小分析范围
操作路径
操作路径
Statistics → Endpoints # 打开统计窗口
按 Packets 或 Bytes 列排序 # 找出异常地址
选中行右键 → Apply as Filter → Selected # 进入该地址明细
再叠加协议或端口条件收敛范围 # 定位到具体交互观察项与下一步
| 观察项 | 可能含义 | 下一步 |
|---|---|---|
| 某地址包数极高 | 扫描源或异常主机 | 按该地址过滤看具体流量 |
| 字节数明显偏高 | 大流量传输或数据外发 | 确认业务是否正常 |
| 广播地址计数高 | 广播风暴的可能 | 查看广播内容与频率 |
| TCP 会话数异常多 | 短连接过多或连接风暴 | 结合目标端口定位服务 |
广播与组播地址会作为独立端点出现且计数偏高，不要误当成业务主机处理。
端点统计把收发两个方向合并，判断谁是发起方需要回到会话或流过滤。
补充要点
- 先用过滤器缩小样本范围，再看端点统计结果更准确
- 结合协议分级一起看，能判断某个地址的流量构成是否异常
- 端点数突然增多通常意味着扫描或地址漂移
- 排序后把可疑地址直接应用为过滤器，是最快进入明细的方式