- При анализе raw netflow, потоки в которых не передавались данные, не стоит интерпретировать как профиль трафика.

- Проверяй, виден ли handshake. Если в выгрузке нет SYN, а флоу длинный и объёмный — DPI подхватил уже установленную сессию. Пробуй найти сессию записанную в дамп целиком.

- Обращай внимание на асимметрию объема входящего и исходящего трафика.