Как создать модель вредоносного трафика в ЛВС?

Порты подбирать

Делаешь виртуальную машину со снортом/сурикатом, заводишь сервисы на ней открываешь пару десятков популярных портов, и пробуешь сканировать порты, утилиты для пентеста на жертве, собираешь попутно весь трафик и потом смотришь логи снорта и трафик анализируешь. Или в интернет выставить жертву, там будет много трафика разного...

Филировать, как много в этом слове?
Если просто анализировать - хоть tcpdump включи и смотри трафик глазами (wireshark конечно поудобнее будет с фильтрами и gui). Если нужны какие то срабатывания - то писать скрипты, либо использовать готовый siem и ids/ips. Не обязательно за денежку, вот посоветовали бесплатную сурикату и условно бесплатный снорт, как сием можно накрутить splunk.

Чтобы генерировать вредоносный трафик - сканировать порты мало, используйте metasploit, kali. В интернет совсем такое себе решение выставлять машину на растерзание. Будет очень не репрезентативно.

берешь nmap и сканируешь агресивно(по всем портам) подсеть вот тебе трафик