用途：该技能让 AI 调查网络流量模式、识别异常并缓解威胁，重点检测入侵、恶意软件通信和未授权访问，适用于安全事件响应、日常监控或合规审计，尤其适合企业网络或云基础设施中的蓝队操作。
主要能力：解析 PCAP 文件，提取源/目的 IP、端口和协议等元数据；使用规则集检测异常，如 SYN 洪泛或异常端口扫描；生成 JSON 或 CSV 格式报告；可集成 tcpdump 进行实时捕获或 Zeek 进行高级协议分析；通过 API 钩子支持实时监控并即时标记威胁。
使用方式：需通过环境变量 $NETWORK_FORENSICS_API_KEY 进行 API 密钥认证，可在 Python 脚本或 CLI 中调用。文件分析需提供 PCAP 文件，实时监控需指定网络接口。CLI 示例：openclaw network-forensics analyze --file path/to/capture.pcap --output report.json；openclaw network-forensics monitor --interface eth0 --duration 300 --alert-level high。API 端点：POST /api/network/analyze，请求头 Authorization: Bearer $NETWORK_FORENSICS_API_KEY；GET /api/network/status 查看活动会话。规则集使用 YAML 配置，如 syn_flood 阈值 1000 packets/sec、port_scan 端口 [80,443,22]。PCAP 处理依赖可安装 scapy：pip install scapy。
适用场景与限制：适合高网络活动环境中的蓝队操作，可与其他技能链式组合，如将结果输入入侵检测系统，或导出到 Splunk、ELK Stack 等 SIEM。需处理无效 PCAP、网络超时、认证失败等错误，CLI 返回退出码，API 返回 401/400 等状态码，建议重试瞬时问题最多 3 次并使用 --debug。实时捕获需配置网络接口权限，如 sudo setcap cap_net_raw+ep /path/to/openclaw binary，并应在沙箱环境测试集成。其他未在资料中说明的收费、平台或效果暂未提供。