用途：识别恶意软件为隐藏 C2 通信和数据外泄而使用的网络隐蔽信道，覆盖 DNS 隧道（如 iodine、dnscat2、FrameworkPOS）、ICMP 隧道（icmpsh、ptunnel）、HTTP 隐蔽信道（在头部、Cookie 或隐写图像中嵌入数据）以及协议滥用等场景。
主要能力：DNS 隧道检测按基础域名聚合查询，统计查询数、子域名长度、唯一性比例、子域名熵与 TXT 查询数量，累计评分（≥50 标记为可疑）；ICMP 隧道检测按源到目的流统计包数与负载大小，平均负载超过 64 字节或包数超过 100 判定可疑；并用于区分隧道域名与合法 CDN/云流量、估算外泄数据量和提取 C2 beaconing 间隔。
前提条件：Python 3.9+ 及 scapy、dpkt、dnslib；Wireshark/tshark 用于 PCAP 分析；Zeek 用于网络监控；DNS 查询日志基础设施；对 DNS、ICMP、HTTP 数据包级协议的理解。
使用方式：脚本接收 PCAP 文件路径作为命令行参数运行，先执行 DNS 隧道分析并输出可疑域名及评分与原因，再执行 ICMP 隧道分析并输出可疑流与原因。缺失依赖时提示 pip install scapy。
限制：技能资料指出，低吞吐量外泄仍难以检测，尽管现代基于机器学习的 DNS 隧道检测可达 99%+ 召回率。验证标准包括熵、子域名长度和查询量分析、ICMP 载荷大小异常识别、区分合法 CDN/云流量、外泄量估算及 C2 模式与 beaconing 间隔提取。具体部署成本、价格或其他平台支持暂未提供。