mcpField
I
implementing-network-traffic-analysis-with-arkime

implementing-network-traffic-analysis-with-arkime

github.com/mukul975安全35.2k49 次安装8 周前更新
代码仓库

关于 implementing-network-traffic-analysis-with-arkime

用于部署或配置 Arkime 网络流量分析的技能，提供查询会话、下载 PCAP 及检测信标和 DNS 隧道的方法，并输出分析报告。

主要功能

  1. 01按 IP、端口、协议或表达式搜索会话
  2. 02下载 PCAP 用于取证
  3. 03通过连接间隔检测 C2 信标
  4. 04依据 DNS 查询长度识别隧道
  5. 05标记可疑 TLS 证书颁发者连接

适用场景

  1. 01调查 Arkime 中的网络会话
  2. 02分析 PCAP 以开展取证
  3. 03排查疑似 C2 信标或 DNS 隧道

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill implementing-network-traffic-analysis-with-arkime

安装后在 Claude Code 中输入/implementing-network-traffic-analysis-with-arkime确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

使用 Arkime 实现网络流量分析

何时使用

  • 在环境中部署或配置使用 Arkime 实现网络流量分析能力时
  • 建立与合规要求一致的安全控制措施时
  • 为该领域构建或改进安全架构时
  • 开展需要此实现的安全评估时

前提条件

  • 熟悉网络安全概念和工具
  • 可访问测试或实验环境以安全执行
  • 已安装 Python 3.8+ 及所需依赖项
  • 任何测试活动均已获得适当授权

操作说明

  1. 安装依赖项：pip install requests
  2. 配置 Arkime viewer URL 和凭据。
  3. 运行 Agent 以查询 Arkime 会话并分析流量：
    • 按 IP、端口、协议或表达式搜索会话
    • 下载 PCAP 数据以进行取证分析
    • 通过连接间隔分析检测 C2 信标
    • 通过查询长度统计识别 DNS 隧道
    • 标记与已知恶意 TLS 证书颁发者的连接
python scripts/agent.py --arkime-url https://arkime.local:8005 --user admin --password secret --output arkime_report.json

示例

信标检测
Source: 10.1.2.50 -> 185.220.101.34:443
Sessions: 288 over 24 hours
Avg interval: 300s, Jitter: 4.2%
Verdict: HIGH confidence C2 beaconing (jitter < 5%)

评论

支持 Markdown