NetFlow/IPFIX collectors typically include a decimal value that represents a cumulative bitwise-OR of the flags that are set in a TCP header across the NetFlow session. Sometimes the analyzer translates them for you, but sometimes it doesn't.
The accompanying Python script translates between those decimal values and their human-readable equivalents, e.g.:
19 = ACK SYN FIN
Obviously, many of these combinations are invalid in normal TCP connections, but any of them could be seen given some creativity with a port scanner or packet generator.
- NetFlow v5:
- NetFlow v9:
- https://www.ietf.org/rfc/rfc3954.txt (see section 8)
RFC 3540 defines an experimental ninth TCP flag, NS, for ECN-nonce
concealment protection. It appears to be rarely if ever used, so I default to excluding it.
However, the IANA IPFIX entities list standard explicitly lists it, so I include an option for it. I don't include any option to decode reserved bits.
Reference: http://www.iana.org/assignments/ipfix/ipfix.xhtml
0
1 FIN
2 SYN
3 SYN FIN
4 RST
5 RST FIN
6 RST SYN
7 RST SYN FIN
8 PSH
9 PSH FIN
10 PSH SYN
11 PSH SYN FIN
12 PSH RST
13 PSH RST FIN
14 PSH RST SYN
15 PSH RST SYN FIN
16 ACK
17 ACK FIN
18 ACK SYN
19 ACK SYN FIN
20 ACK RST
21 ACK RST FIN
22 ACK RST SYN
23 ACK RST SYN FIN
24 ACK PSH
25 ACK PSH FIN
26 ACK PSH SYN
27 ACK PSH SYN FIN
28 ACK PSH RST
29 ACK PSH RST FIN
30 ACK PSH RST SYN
31 ACK PSH RST SYN FIN
32 URG
33 URG FIN
34 URG SYN
35 URG SYN FIN
36 URG RST
37 URG RST FIN
38 URG RST SYN
39 URG RST SYN FIN
40 URG PSH
41 URG PSH FIN
42 URG PSH SYN
43 URG PSH SYN FIN
44 URG PSH RST
45 URG PSH RST FIN
46 URG PSH RST SYN
47 URG PSH RST SYN FIN
48 URG ACK
49 URG ACK FIN
50 URG ACK SYN
51 URG ACK SYN FIN
52 URG ACK RST
53 URG ACK RST FIN
54 URG ACK RST SYN
55 URG ACK RST SYN FIN
56 URG ACK PSH
57 URG ACK PSH FIN
58 URG ACK PSH SYN
59 URG ACK PSH SYN FIN
60 URG ACK PSH RST
61 URG ACK PSH RST FIN
62 URG ACK PSH RST SYN
63 URG ACK PSH RST SYN FIN
64 ECE
65 ECE FIN
66 ECE SYN
67 ECE SYN FIN
68 ECE RST
69 ECE RST FIN
70 ECE RST SYN
71 ECE RST SYN FIN
72 ECE PSH
73 ECE PSH FIN
74 ECE PSH SYN
75 ECE PSH SYN FIN
76 ECE PSH RST
77 ECE PSH RST FIN
78 ECE PSH RST SYN
79 ECE PSH RST SYN FIN
80 ECE ACK
81 ECE ACK FIN
82 ECE ACK SYN
83 ECE ACK SYN FIN
84 ECE ACK RST
85 ECE ACK RST FIN
86 ECE ACK RST SYN
87 ECE ACK RST SYN FIN
88 ECE ACK PSH
89 ECE ACK PSH FIN
90 ECE ACK PSH SYN
91 ECE ACK PSH SYN FIN
92 ECE ACK PSH RST
93 ECE ACK PSH RST FIN
94 ECE ACK PSH RST SYN
95 ECE ACK PSH RST SYN FIN
96 ECE URG
97 ECE URG FIN
98 ECE URG SYN
99 ECE URG SYN FIN
100 ECE URG RST
101 ECE URG RST FIN
102 ECE URG RST SYN
103 ECE URG RST SYN FIN
104 ECE URG PSH
105 ECE URG PSH FIN
106 ECE URG PSH SYN
107 ECE URG PSH SYN FIN
108 ECE URG PSH RST
109 ECE URG PSH RST FIN
110 ECE URG PSH RST SYN
111 ECE URG PSH RST SYN FIN
112 ECE URG ACK
113 ECE URG ACK FIN
114 ECE URG ACK SYN
115 ECE URG ACK SYN FIN
116 ECE URG ACK RST
117 ECE URG ACK RST FIN
118 ECE URG ACK RST SYN
119 ECE URG ACK RST SYN FIN
120 ECE URG ACK PSH
121 ECE URG ACK PSH FIN
122 ECE URG ACK PSH SYN
123 ECE URG ACK PSH SYN FIN
124 ECE URG ACK PSH RST
125 ECE URG ACK PSH RST FIN
126 ECE URG ACK PSH RST SYN
127 ECE URG ACK PSH RST SYN FIN
128 CWR
129 CWR FIN
130 CWR SYN
131 CWR SYN FIN
132 CWR RST
133 CWR RST FIN
134 CWR RST SYN
135 CWR RST SYN FIN
136 CWR PSH
137 CWR PSH FIN
138 CWR PSH SYN
139 CWR PSH SYN FIN
140 CWR PSH RST
141 CWR PSH RST FIN
142 CWR PSH RST SYN
143 CWR PSH RST SYN FIN
144 CWR ACK
145 CWR ACK FIN
146 CWR ACK SYN
147 CWR ACK SYN FIN
148 CWR ACK RST
149 CWR ACK RST FIN
150 CWR ACK RST SYN
151 CWR ACK RST SYN FIN
152 CWR ACK PSH
153 CWR ACK PSH FIN
154 CWR ACK PSH SYN
155 CWR ACK PSH SYN FIN
156 CWR ACK PSH RST
157 CWR ACK PSH RST FIN
158 CWR ACK PSH RST SYN
159 CWR ACK PSH RST SYN FIN
160 CWR URG
161 CWR URG FIN
162 CWR URG SYN
163 CWR URG SYN FIN
164 CWR URG RST
165 CWR URG RST FIN
166 CWR URG RST SYN
167 CWR URG RST SYN FIN
168 CWR URG PSH
169 CWR URG PSH FIN
170 CWR URG PSH SYN
171 CWR URG PSH SYN FIN
172 CWR URG PSH RST
173 CWR URG PSH RST FIN
174 CWR URG PSH RST SYN
175 CWR URG PSH RST SYN FIN
176 CWR URG ACK
177 CWR URG ACK FIN
178 CWR URG ACK SYN
179 CWR URG ACK SYN FIN
180 CWR URG ACK RST
181 CWR URG ACK RST FIN
182 CWR URG ACK RST SYN
183 CWR URG ACK RST SYN FIN
184 CWR URG ACK PSH
185 CWR URG ACK PSH FIN
186 CWR URG ACK PSH SYN
187 CWR URG ACK PSH SYN FIN
188 CWR URG ACK PSH RST
189 CWR URG ACK PSH RST FIN
190 CWR URG ACK PSH RST SYN
191 CWR URG ACK PSH RST SYN FIN
192 CWR ECE
193 CWR ECE FIN
194 CWR ECE SYN
195 CWR ECE SYN FIN
196 CWR ECE RST
197 CWR ECE RST FIN
198 CWR ECE RST SYN
199 CWR ECE RST SYN FIN
200 CWR ECE PSH
201 CWR ECE PSH FIN
202 CWR ECE PSH SYN
203 CWR ECE PSH SYN FIN
204 CWR ECE PSH RST
205 CWR ECE PSH RST FIN
206 CWR ECE PSH RST SYN
207 CWR ECE PSH RST SYN FIN
208 CWR ECE ACK
209 CWR ECE ACK FIN
210 CWR ECE ACK SYN
211 CWR ECE ACK SYN FIN
212 CWR ECE ACK RST
213 CWR ECE ACK RST FIN
214 CWR ECE ACK RST SYN
215 CWR ECE ACK RST SYN FIN
216 CWR ECE ACK PSH
217 CWR ECE ACK PSH FIN
218 CWR ECE ACK PSH SYN
219 CWR ECE ACK PSH SYN FIN
220 CWR ECE ACK PSH RST
221 CWR ECE ACK PSH RST FIN
222 CWR ECE ACK PSH RST SYN
223 CWR ECE ACK PSH RST SYN FIN
224 CWR ECE URG
225 CWR ECE URG FIN
226 CWR ECE URG SYN
227 CWR ECE URG SYN FIN
228 CWR ECE URG RST
229 CWR ECE URG RST FIN
230 CWR ECE URG RST SYN
231 CWR ECE URG RST SYN FIN
232 CWR ECE URG PSH
233 CWR ECE URG PSH FIN
234 CWR ECE URG PSH SYN
235 CWR ECE URG PSH SYN FIN
236 CWR ECE URG PSH RST
237 CWR ECE URG PSH RST FIN
238 CWR ECE URG PSH RST SYN
239 CWR ECE URG PSH RST SYN FIN
240 CWR ECE URG ACK
241 CWR ECE URG ACK FIN
242 CWR ECE URG ACK SYN
243 CWR ECE URG ACK SYN FIN
244 CWR ECE URG ACK RST
245 CWR ECE URG ACK RST FIN
246 CWR ECE URG ACK RST SYN
247 CWR ECE URG ACK RST SYN FIN
248 CWR ECE URG ACK PSH
249 CWR ECE URG ACK PSH FIN
250 CWR ECE URG ACK PSH SYN
251 CWR ECE URG ACK PSH SYN FIN
252 CWR ECE URG ACK PSH RST
253 CWR ECE URG ACK PSH RST FIN
254 CWR ECE URG ACK PSH RST SYN
255 CWR ECE URG ACK PSH RST SYN FIN