用途：在安全事件调查中分析网络流量抓包（PCAP）与流数据，识别攻击者活动，包括命令与控制（C2）通信、横向移动和数据外泄。
适用时机：SIEM 告警出现异常网络流量需深入调查；怀疑 C2 信标需包级确认；需从网络证据量化外泄数据量与目的地；需追踪系统间横向移动；IDS/IPS 告警需包级验证。不适用于基于主机的取证分析（进程执行、文件系统痕迹），此类应使用端点取证工具。
主要能力：识别 C2 通信（信标间隔规律、包大小一致、非标准端口 HTTPS、高熵子域 DNS）；分析横向移动协议（SMB 445、RDP 3389、WinRM 5985、WMI 135、SSH 22、DCE/RPC 135）；检测数据外泄（大流量出站、DNS 隧道、ICMP 隧道、大体积 HTTP POST）；提取并关联 IOC（外部 IP、域名、URL、TLS 证书与 JA3/JA3S、User-Agent、PCAP 中文件）。
使用方式：需具备全流量抓包设施或按需抓包能力（网络分光、SPAN 端口）、Wireshark、Zeek、NetFlow/IPFIX 采集、网络架构图与威胁情报源。流程为：捕获或获取流量（如 tcpdump -i eth0 -w capture.pcap host 10.1.5.42）；识别 C2；分析横向移动；检测外泄；提取关联 IOC；撰写结构化网络取证报告，引用 PCAP 文件、帧号与时间戳。
常用工具：Wireshark、Zeek、Arkime、NetworkMiner、RITA。
限制与注意事项：若 C2 走 HTTPS 且无 SSL 解密，仅分析 HTTP 会遗漏；DNS 隧道单次数据量小但累计可观，易被忽略；需注意网络与端点时间戳时区不一致；警惕合法云服务被滥用外泄。具体收费、平台支持等信息暂未提供。