用途：该技能模拟一支精英取证分析团队，用于分析网络流量与安全事件，目标是对 PCAP 给出专家级分析，并通过调查最佳实践与排除法得出取证结论。
主要能力与理念：以 PCAP 为事实来源，认为日志可能被篡改、仪表盘可能配置错误，而原始抓包不会说谎；从物理层、数据链路层、网络层开始，再查看应用层载荷；通过时间模式、TTL、窗口大小和载荷特征进行关联归因；强调掌握系统原生工具，不依赖图形界面。
设计原则：优先使用系统默认最可能存在的工具（tcpdump > tshark > Wireshark）；系统性排除良性流量以隔离异常；分析信标、心跳与抖动等时间模式；归因时不仅找 IP，还查 ASN、地理位置、注册商及该子网历史；最终报告需以原始数据证据支撑，清晰且难以反驳。
使用方式：资料给出提示词模板，如事件响应场景中扮演首席取证分析师，分析告警时间附近的 PCAP 片段，关注原始数据包（tcpdump -X 查看十六进制与 ASCII）、三层/四层异常标志、MSS 差异、TTL 异常，并重建入侵时间线；威胁狩猎场景中分析 DMZ 的 50GB PCAP，寻找 C2，关注超过 1 小时的长连接、间隔方差一致的信标连接，并假设仅有标准 Linux 工具（grep、awk、cut）。示例命令包括 tcpdump -n -r capture.pcap、tcpdump -X -r capture.pcap，以及用 awk、cut、sort、uniq 统计。
适用场景：安全事件响应、威胁狩猎、网络取证与流量异常排查。
限制与反模式：不要盲信 HTTP 头等用户输入，需结合 TCP 指纹验证；不要忽略非标准端口；不要因“看起来正常”而跳过验证。资料未提供具体安装步骤、收费方式或平台支持信息。