用途：分析恶意软件在沙箱运行或实时应急响应中产生的网络流量，识别命令与控制（C2）协议、数据外传通道、载荷下载，并为网络检测规则提供依据。适用场景包括：沙箱已捕获 PCAP 需深入分析、提取 C2 协议结构以编写检测签名、判定外传数据与外部基础设施、分析 DNS 隧道、DGA 或 fast-flux 行为、基于观测模式创建 Suricata/Snort 规则。不适用于主机层恶意行为分析，此类应使用沙箱报告或内存分析工具。
主要能力与工作流：先用 capinfos 与 tshark 统计（io,phs、endpoints,ip、conv,tcp、dns,tree）获取 PCAP 概览；再分析 DNS 活动，提取查询、检测高熵 DGA 域名与大型 TXT 响应式 DNS 隧道；分析 HTTP/HTTPS C2，提取请求、响应体、POST 数据、TLS SNI、JA3 指纹与证书，并可导出 HTTP 对象；用 scapy 按目的 IP:端口分组 SYN 包时间，计算间隔均值、标准差与抖动，识别周期性 beaconing；运行 Suricata 匹配现有规则并据观测模式编写自定义规则；用 Zeek 提取全部文件并生成 conn、dns、http、ssl、files 等日志，配合 tshash 导出 http/smb/tftp 对象并计算 SHA-256。
前置条件与工具：Wireshark 4.x、tshark、Zeek、Suricata（ET Open/ET Pro 规则集）、NetworkMiner、Python 3.8+ 与 scapy、dpkt。关键概念包括 beaconing、JA3/JA3S、DGA、DNS 隧道、fast flux、SNI、网络签名。
限制与注意事项：分析不应只看前几个包，部分 C2 协议在握手后改变行为；沙箱具备中间人能力时应解密 TLS；需区分正常 CDN/云流量与 C2，并核对目的 IP；不要忽略基于 DNS 或 ICMP 的 C2 流量。资料未提供具体收费、价格或平台限制信息。