用途：在勒索软件执行前后，攻击者会建立 C2 通道、外泄数据并下载加密密钥。该技能分析 Zeek conn.log 与 NetFlow 数据，识别勒索软件相关的网络指标，辅助事件调查、检测规则构建与威胁狩猎。
主要能力：解析连接日志；通过连接间隔统计（均值、标准差、变异系数）检测周期性信标；将目的 IP 与 TOR 出口节点列表交叉比对；标记对外部 IP 的高出站字节比连接以识别数据外泄；检测类 DGA 域名查询与高熵子域；对各类指标进行综合风险评分并关联；生成含时间线与 MITRE ATT&CK 映射的结构化报告。
使用方式：前提为 Zeek conn.log 文件或 NetFlow CSV/JSON 导出、Python 3.8+ 标准库、TOR 出口节点列表（取自 Tor Project 或威胁情报源），可选已知勒索软件 C2 IOC 列表。步骤依次为解析连接日志、检测信标模式、检查 TOR 出口节点连接、识别数据外泄、分析 DNS 模式、评分与关联、生成报告。
预期输出：含信标检测与间隔统计的 JSON 报告、TOR 出口节点连接告警、数据外泄流量分析、带 MITRE 映射（T1071、T1573、T1041）的复合勒索软件风险评分。
限制：资料未提供具体代码实现、安装命令、价格或平台信息；实际效果依赖输入数据质量与 TOR/IOC 列表的时效性。