用途：在需要数据包级证据来理解协议行为或防御可见性时使用。主要面向检测与响应评估阶段，其次用于发现与侦察、验证与受控影响演示。适用于确认协议行为、明文暴露或异常服务交互，比较实际流量与防御方可观测告警，以及排查验证路径是否符合预期。
不适用：抓包未获批准；抓包会收集不必要的敏感数据或范围外流量。
所需输入：已批准的抓包位置与时长、相关主机/协议/时间窗、敏感抓包数据的处理规则。
流程：仅在批准网段抓包；快速过滤匹配当前假设的流量；识别明文数据、协议异常或缺失的分段指示；将数据包观察与日志、告警、预期遥测对比；仅汇总报告与控制改进所需证据。
命令示例（将接口与目标替换为获批准的在范围内取值）： wireshark -i eth0 -k tshark -i eth0 -w contoso-capture.pcap tshark -i eth0 -f "host 10.10.10.100 and tcp port 443" -w contoso-filtered.pcap tshark -i eth0 -f "tcp port 445" -w contoso-smb.pcap tshark -r contoso-capture.pcap -Y "http.request.method == POST" tshark -r contoso-capture.pcap -Y "http" -T fields -e http.host -e http.request.uri tshark -i eth0 -f "udp port 5355 or udp port 137" -w contoso-llmnr.pcap
需捕获的证据：与测试活动相关的协议级观察、造成实质风险的明文或弱保护流、日志盲区或遥测不匹配。
安全边界：最小化抓包范围与保留时间；将数据包捕获作为敏感证据加以保护。