python如何检测网络数据包中的流量是普通流量还是恶意攻击

我在我的服务器上想使用python脚本来过滤数据包中的普通流量，但是现在没思路 如何判断普通流量和攻击流量
初步计划是通过某种白名单的方式 但是两者的界限不清楚 ，有什么好的思路吗？