用途
本技能面向网络安全分析场景，使用 Scapy 这一 Python 数据包操作库，在细粒度协议层上构造、发送、嗅探和解析网络数据包。它可用于安全事件调查、检测规则与威胁狩猎查询的构建、SOC 分析师的结构化分析流程，以及验证安全监控对相关攻击技术的覆盖情况。
主要能力
- 构造、发送、嗅探和解析 TCP/UDP/ICMP/DNS 数据包。
- 使用 rdpcap() 读取并解析 pcap/pcapng 文件，进行离线分析。
- 提取协议层（IP、TCP、UDP、DNS、HTTP）及其字段值。
- 计算流量统计：主要通信方（top talkers）、协议分布、端口频率。
- 通过分析 TCP 标志位比例检测 SYN 洪泛模式。
- 通过查询长度与熵分析识别 DNS 外泄指标。
- 构造自定义探测数据包，用于获得授权的网络测试。
- 检测异常流量模式，例如异常分片数据包或畸形报文头。
- 实现 SYN 扫描。
- 将发现导出为结构化 JSON 报告。
使用方式
技能给出的步骤包括：读取并解析 pcap/pcapng 文件进行离线分析；提取协议层与字段值；计算流量统计；分析 TCP 标志位比例以检测 SYN 洪泛；通过查询长度和熵分析识别 DNS 外泄指标；构造自定义探测包用于授权测试；最后导出结构化 JSON 报告。
前置条件
- Python 3.8+，并安装 scapy 库（pip install scapy）。
- 原始套接字操作（嗅探、发送）需要 root/管理员权限。
- 数据包捕获需要 Npcap（Windows）或 libpcap（Linux）。
- 需获得对目标网络执行数据包操作的授权。
预期输出
JSON 报告，包含数据包统计、协议分布、主要源/目的 IP、检测到的异常（SYN 洪泛、DNS 隧道指标、分片攻击）以及逐流摘要。
适用场景
- 调查需要借助 Scapy 分析网络数据包的安全事件。
- 为该领域构建检测规则或威胁狩猎查询。
- SOC 分析师需要该分析类型的结构化流程。
- 验证针对相关攻击技术的安全监控覆盖。
限制
原始套接字操作需要 root/管理员权限；数据包捕获依赖 Npcap 或 libpcap；必须在获得授权的前提下对目标网络执行数据包操作。其余关于收费、价格、平台或效果的信息暂未提供。