用途：读取 pcap/pcapng 抓包文件，完成整体画像、IP 含义标注、PNG 可视化与 Markdown 报告，适用于安全调查和运维排查。
主要能力：先用 Protocol Hierarchy、Endpoints、Conversations 建立基线，掌握主要协议、通信对端与会话；再按 HTTP Host、DNS 应答、TLS SNI/gQUIC SNI、RDAP、反向 DNS 的顺序为 IP 添加有依据的标签，并区分 hostname 与 organization 等不同证据来源；对加密流量以对端、方向、流量、时段、持续时长等行为特征说明；输出至少一张时间序列图和一张排名图，并整理“已确认/待复核/未解决”的异常候选。
使用方式：先固定调查目标并检查抓包质量（时长、包数、平均速率、snaplen、pcapng 名称解析信息），质量有问题时结论只作趋势参考。初次分诊和大文件聚合优先用 CLI（capinfos、tshark），二次加工、自定义排名与标签、PNG 生成、Markdown 报告用 Python（scapy、matplotlib），轻量绘图可用 gnuplot。图表需标注时间范围、聚合粒度、过滤条件和 top N 依据。
限制与反模式：不要仅凭 Expert Information 下结论；不要无差别查询全部 IP；不要把所有者信息等同于服务名；不要强行用载荷解释加密流量；图表必须写明条件；不要一开始就用 Python 全量读取大文件。参考资料包括 Wireshark tshark/capinfos 手册、Wireshark 用户指南相关章节、Scapy 使用指南及 RFC 7482、ICANN RDAP 等。