用途：在获得授权的安全评估中审计网络流量、调查安全事件、分析协议行为或复核数据包抓包文件。
主要能力与工具：tcpdump 用于实时抓包与 BPF 过滤；tshark 用于命令行协议解析与字段提取；editcap、mergecap 用于拆分、合并、裁剪 pcap；ngrep 用于对数据包做正则匹配；Zeek 用于协议日志记录与脚本分析；Suricata 用于 IDS/IPS 规则匹配；termshark 提供 TUI 数据包浏览；Scapy（pip 安装）用于 Python 数据包构造与解析；nfdump 用于流记录分析。
使用方式：先抓包，例如 tcpdump -i eth0 -w capture-%Y%m%d%H%M.pcap -C 100 -W 10 -Z root；再做分类统计，如 tshark -r capture.pcap -qz io,phs、conv,tcp、endpoints,ip；随后深入检查 DNS、TLS 握手（含 SNI、JA3）、明文凭据与 HTTP 对象导出；最后做异常检测，如长 DNS 查询、周期性信标、大流量外传与非标准端口使用。Zeek 可用 zeek -r capture.pcap local 生成日志，再用 zeek-cut 分析。Scapy 可读取 pcap、过滤 DNS 包、提取目标 IP 与会话重组。
适用场景：事件响应、协议异常排查、数据外泄检测、代码审查中识别明文协议、DNS 外泄面与证书校验缺失等问题。
限制：仅限授权环境使用；资料未提供具体收费、平台支持范围与效果数据，暂未提供。