用途：该技能用于对数据包捕获（pcap/pcapng）与网络遥测进行取证分析，从帧层面重建意图，判断谁与谁通信、使用了什么协议、行为是人工还是自动化，以及是否有数据离开网络。它不是直接读取工具结论，而是将平面捕获还原成事件叙事。
主要能力：捕获与处理，包括完整帧抓包、环形缓冲、合并、切分、时间窗裁剪与匿名化；使用 Wireshark/tshark 的分诊漏斗，从协议层级、会话、端点逐层收敛到关键流；使用 Zeek 生成 conn.log、dns.log、http.log、ssl.log、x509.log、files.log、notice.log、weird.log 等结构化日志并挖掘；离线运行 Suricata 规则并分析 eve.json 告警；检测 C2 信标、DNS 隧道与 DGA、异常 TLS 指纹（JA3/JA3S、SNI 与证书不匹配）、HTTP 异常与文件雕刻；外泄排查与协议异常识别；提取并交接 IOC。
使用方式：先保证抓包正确，再用 capinfos、tshark -z io,phs 检查完整性；大文件可用 editcap 切分、mergecap 合并。Zeek 可直接运行 zeek -r case.pcap 并配合 zeek-cut 提取字段。Suricata 可执行 suricata -r case.pcap -S /etc/suricata/rules/suricata.rules -l ./out/，再用 jq 处理 eve.json。信标可用 tshark 计算到达间隔，或用 rita import --database case --logs ./ && rita view case beacon:'>=90'。
适用场景：pcap 需取证审查；确认可疑 C2 信标及其间隔、抖动与信道；评估数据外泄的时间、规模与目的地；记录恶意软件实际发出的网络行为；对 Zeek notice.log 或 Suricata 告警追查结论；排查 DNS 隧道、DGA 或异常 TLS。
限制：不适合主动横扫多源遥测（应用 hunting-threats）；不负责整个事件响应（用 responding-to-incidents）；不用于样本引爆（用 analyzing-malware）；不处理云控制平面活动（用 investigating-aws-incidents）；不用于主动测试在线应用（用 testing-web-applications）。无会话密钥时无法解密生产 TLS，只能做指纹识别；Suricata 告警应当作线索而非定论，其缺失也不代表捕获清白。