用途：在安全事件响应中，对网络流量捕获（PCAP）与流数据进行取证分析，识别攻击者的命令与控制（C2）通信、横向移动和数据外泄，并提取可关联的网络指标（IOC）。
适用时机：SIEM 告警指向异常网络流量需深入调查；怀疑 C2 信标需包级确认；需量化数据外泄的流量与目的地；需通过网络连接追踪系统间横向移动；IDS/IPS 告警需包级验证。不适用于主机取证（进程执行、文件系统痕迹），应改用端点取证工具。
主要能力：捕获或获取流量（tcpdump 实时捕获、从 Arkime/Corelight 导出 PCAP、拉取 Zeek 日志与 NetFlow）；检测 C2 信标（固定间隔、抖动、包大小一致、非标准端口 HTTPS、高熵子域 DNS）；分析横向移动协议（SMB 445、RDP 3389、WinRM 5985、WMI 135、SSH 22、DCE/RPC）；检测数据外泄（大流量出站、DNS 隧道、ICMP 隧道、大 HTTP POST）；提取 IOC（外部 IP、域名、URL、TLS 证书与 JA3/JA3S、User-Agent、PCAP 中文件）；输出结构化网络取证报告。
必要用法：需具备完整包捕获基础设施或按需捕获能力（网络分路器、SPAN 端口）；分析工作站安装 Wireshark 并掌握显示过滤器；部署 Zeek 生成 conn.log、dns.log、http.log、ssl.log 等元数据；从网络设备采集 NetFlow/IPFIX；准备网络架构图与威胁情报源用于关联。示例命令：tcpdump -i eth0 -w capture.pcap host 10.1.5.42；cat conn.log | zeek-cut ts id.orig_h id.resp_h id.resp_p duration orig_bytes resp_bytes。
限制与注意：仅查 HTTP 而忽略未做 SSL 检查的 HTTPS C2 会漏检；DNS 隧道单次数据量小但累计显著；需注意网络与端点时间戳的时区差异；警惕被滥用的合法云存储外泄。具体工具版本、收费与平台支持暂未提供。