用途：对 PCAP/PCAPNG 抓包文件做取证分析，重建主机间通信，为数据外泄、命令控制通信、横向移动、恶意软件投递和未授权访问等调查提供证据。Wireshark 用于交互分析，tshark 用于命令行自动化处理，tcpdump 用于抓包与基础过滤。
主要能力：抓包与轮转（如 tcpdump -i eth0 -w capture.pcap、-C 100 -W 10）；显示过滤（http、dns、smb2、ip.addr、tcp.flags.syn == 1 && tcp.flags.ack == 0、tcp.len > 1000、tls.handshake.type == 1、http.request.method == "POST" 等）；tshark 提取 HTTP URL、DNS 查询、TLS SNI，导出 HTTP/SMB 对象，输出协议层级、会话、端点统计；Python 用 scapy 统计会话、提取 DNS 查询、按时间间隔方差检测 beaconing、生成 JSON 报告。
使用方式：先按需抓包或取得 PCAP，再用 Wireshark 过滤或 tshark 命令行提取字段与统计，必要时运行 Python 脚本（用法：python process.py <pcap_file> <output_dir>）生成报告。
适用场景：安全评估、事件响应、计划性安全测试与审计、通过实操验证安全控制。
限制：需 Wireshark 4.x、tshark、tcpdump、Python 3.8+ 及 scapy、pyshark，并预留可容纳多 GB 文件的磁盘空间；分析结果依赖抓包完整性与时间同步，beaconing 检测基于间隔方差阈值，可能产生误报；具体收费、价格与效果暂未提供。