随着系统的升级与漏洞的修补，入侵主机进而进行破坏的病毒攻击方式在攻击中所占比例逐渐减少，这些攻击转而改为恶意的消耗网络有限的资源或占用系统，进而破坏系统对外提供服务的能力；但传统的系统升级无法检测并预防此类攻击。针对此类攻击，业界提出了以检测网络数据流的方法来判断网络异常和攻击：借助实时的检测网络数据流信息，通过与历史记录模式匹配（判断是否正常）、或者与异常模式匹配（判断是否被攻击），让网络管理人员可以实时查看全网的状态，检测网络性能可能出现的瓶颈，并进行自动处理或告警显示，以保证网络高效、可靠地运转。
Netflow提供
网络流量的会话级视图，记录下每个TCP/IP事务的信息。也许它不能像tcpdump那样提供
网络流量的完整记录，但是当汇集起来时，它更加易于管理和易读。Netflow由Cisco创造。
一个NetFlow流定义为在一个源IP地址和目的IP地址间传输的单向数据包流，且所有数据包具有共同的传输层源、目的
端口号。
一个Netflow系统包括三个主要部分：探测器，采集器，报告系统。探测器是用来监听
网络数据的。采集器是用来收集探测器传来的数据的。报告系统是用来从采集器收集到的数据产生易读的报告的。
NetFlow是Cisco设备NLOS
软件中内嵌的一种功能，用来将
网络流量记录到设备的高速缓存中，从而提供非常精准的流量测量。 由于网络通信具有流动性，所以缓存中记录的NetFlow统计数据通常包含转发的IP信息。 输出的NetFlow统计数据可用于多种目的，如
网络流量核算、网络付费、网络监控以及商业目的的数据存储。
路由器和
交换机输出的NetFlow数据记录由过期的
数据流及详细的流量统计数据组成。这些
数据流中包含来源和目的相关的信息，以及端到端会话使用的协议和端口。这些信息能帮助IT人员监控和调整
网络流量，以及面向网络有效地分配
带宽。 NetFlow流量统计数据包括数据流时戳 源IP地址和目的IP地址 源端口号和目的端口号 输入接口号和输出接口号 下一跳IP地址 信息流中的总字节数 信息流中的数据包数量 信息流中的第一个和最后一个数据包时戳 源AS和目的AS，及前置掩码 序号(只有版本5中支持)
