netstat -s 顯示 IP、ICMP、TCP、UDP 等協定的詳細統計計數器，包含封包收發量、錯誤數、重傳數、連線建立/失敗次數等。定期擷取基線、對比異常，可發現連線洪水、掃描探測、資料外洩等異常流量。本文示範指令用法、關鍵指標解讀與安全應用場景。

指令與輸出解讀

netstat -s
# 或輸出到檔案方便分析
netstat -s > C:\netstat_baseline_$(date +%F).txt

關鍵區塊與指標

區塊	關鍵指標	異常含義
IPv4/IPv6 Statistics	Received/Sent/Delivered/Discarded/Header Errors/Address Type Errors	Discarded 激增 → 路由錯誤/防火牆丟棄；Header Errors → 惡意封包/硬體故障
ICMPv4/ICMPv6 Statistics	Messages/Errors/Destination Unreachable/Time Exceeded/Redirect	Time Exceeded 多 → TTL 攻擊/路由迴路；Redirect 多 → 中間人攻擊
TCP Statistics	Active/Passive Opens/Failed Attempts/Reset Received/Segments Received/Sent/Retransmitted	Failed Attempts 高 → 連線洪水/掃描；Retransmitted 高 → 網路擁塞/丟包；Reset Received 高 → 服務拒絕/防火牆阻擋
UDP Statistics	Datagrams Received/Sent/No Port/Receive Errors	No Port 高 → 埠掃描/服務未啟動

安全應用場景

1. 基線建立： 系統穩定期每日 netstat -s 記錄，建立正常範圍。
2. 即時比對： 懷疑入侵時執行，對比基線，關注 TCP Failed Attempts、Reset Received、Retransmitted Segments、UDP No Port 暴增。
3. 搭配 netstat -an： 發現異常統計後，用 netstat -an | findstr :可疑埠 定位具體連線。
4. 腳本化監控： 結合 任務排程器 + PowerShell 定期擷取、閾值告警 (如 Failed Attempts > 100/分鐘 發送郵件)。

進階：PowerShell 解析腳本片段

$stats = netstat -s
$tcp = $stats | Select-String -Pattern 'TCP Statistics' -Context 0,20
# 進一步用 RegEx 擷取數值寫入時間序列資料庫 (InfluxDB/Prometheus) 圖表化

結語

netstat -s 是無需安裝第三方工具、即可洞悉協定層健康狀態的內建雷達。將其納入日常巡檢、異常排查、入侵偵測 SOP，配合基線比對與自動化監控，讓網路異常無所遁形。記住：統計數字不會說謊，關鍵在於你是否定期閱讀它們。