用途：检测并分析恶意软件利用的网络隐蔽信道，识别隐藏在正常流量中的 C2 通信与数据外传，包括 DNS 隧道、ICMP 隧道、HTTP 隐蔽信道及其他协议滥用。
主要能力：通过 PCAP 分析统计域名查询量、子域名长度、唯一性比例与熵值等指标，对 DNS 隧道打分；通过 ICMP 载荷大小与频率异常识别 ICMP 隧道；并可区分隧道域名与正常 CDN/云流量，估算外传数据量，提取 C2 通信模式与信标间隔。
使用方式：需 Python 3.9+ 及 scapy、dpkt、dnslib，配合 Wireshark/tshark、Zeek 与 DNS 查询日志。运行示例脚本时传入 PCAP 文件，例如 python script.py <pcap_file>，输出可疑域名分数与 ICMP 可疑流。资料给出的验证标准包括：通过熵、子域名长度和查询量检测 DNS 隧道、通过载荷异常识别 ICMP 信道、区分隧道与正常 CDN/云流量、估算外传数据量、提取信标间隔。
适用场景：安全事件调查、检测规则与威胁狩猎查询编写、SOC 分析结构化流程、验证安全监控覆盖度。
限制：低吞吐量外传仍具挑战；缺少权威基线时可能产生误报；需具备 DNS、ICMP、HTTP 的包级协议理解。具体性能、价格与平台信息暂未提供。