mcpField
N
network-forensics

network-forensics

github.com/alphaonedev安全57 次安装
代码仓库

关于 network-forensics

network-forensics 是用于调查网络流量并识别可疑活动的安全技能，可分析抓包、日志或实时数据。它支持 PCAP 分析、基于规则的异常检测，并为蓝队操作生成 JSON 或 CSV 报告。

主要功能

  1. 01从 PCAP 文件提取网络元数据
  2. 02使用可配置规则检测异常
  3. 03以 JSON 或 CSV 导出发现
  4. 04通过 CLI 或 API 分析实时流量
  5. 05与 tcpdump 和 Zeek 集成

适用场景

  1. 01调查可疑的网络抓包文件
  2. 02监控流量中的扫描或 SYN flood
  3. 03在安全事件期间检查异常连接
  4. 04为 SIEM 分析整理威胁发现

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/alphaonedev/openclaw-graph --skill network-forensics

安装后在 Claude Code 中输入/network-forensics确认已加载。

详细介绍

网络取证

用途

此技能可帮助 AI 分析数据包捕获文件、日志和实时数据，调查网络流量模式、识别异常并缓解威胁。重点是检测入侵、恶意软件通信和未授权访问。

适用场景

在安全事件处置、例行监控或合规审计期间使用此技能。当网络日志显示流量异常激增、存在未知 IP 连接或可能发生 DDoS 攻击时，请使用此技能。适用于网络活动频繁的环境中的蓝队运营，例如企业网络或云基础设施。

主要功能

  • 解析 PCAP 文件，提取源/目标 IP、端口和协议等元数据。
  • 使用规则集检测异常，例如识别 SYN 洪水攻击或异常端口扫描。
  • 生成 JSON 或 CSV 格式的威胁情报报告。
  • 与 tcpdump 等工具集成以进行实时捕获，或与 Zeek 集成以进行高级协议分析。
  • 通过 API 钩子支持实时监控，立即标记威胁。

使用模式

要使用此技能，请先通过环境变量（例如 $NETWORK_FORENSICS_API_KEY）使用 API 密钥进行身份验证。通过 Python 脚本或命令行以编程方式调用此技能进行分析。对于基于文件的分析，请提供 PCAP 文件；对于实时监控，请指定网络接口。始终将调用封装在错误处理代码块中，以处理故障。可将此技能与其他蓝队技能串联，以实现自动化工作流，例如将结果发送到入侵检测系统。

常用命令/API

核心操作可使用以下命令行命令或 API 端点：

  • 命令行：分析 PCAP 文件：openclaw network-forensics analyze --file path/to/capture.pcap --output report.json
  • 命令行：监控实时流量：openclaw network-forensics monitor --interface eth0 --duration 300 --alert-level high
  • API 端点：向 /api/network/analyze 发送 POST 请求，并附上 JSON 请求体：{"file": "base64_encoded_pcap", "rules": ["syn_flood", "port_scan"]}。设置请求头：Authorization: Bearer $NETWORK_FORENSICS_API_KEY
  • API 端点：从 /api/network/status 发送 GET 请求，以检查正在进行的会话：响应包含 JSON 格式的活动警报。
  • 代码片段（Python）： 
    import requests
api_key = os.environ.get('NETWORK_FORENSICS_API_KEY')
response = requests.post('https://api.openclaw.com/api/network/analyze', headers={'Authorization': f'Bearer {api_key}'}, json={'file': 'capture.pcap'})
print(response.json()['threats'])
  • 配置格式：规则集使用 YAML，例如： 
    rules:
  - name: syn_flood
    threshold: 1000 packets/sec
  - name: port_scan
    ports: [80, 443, 22]

集成说明

可将结果导出到 Splunk 或 ELK Stack 等 SIEM 系统，以便将此技能与其他工具集成。进行身份验证时，始终使用环境变量 $NETWORK_FORENSICS_API_KEY。在代码中处理依赖项，例如安装用于处理 PCAP 的 scapy：pip install scapy。若要与其他 OpenClaw 技能结合使用，请使用 SDK：例如，将 network-forensics 的输出作为输入传递给 intrusion-detection。确保已配置网络接口以进行捕获，例如通过 sudo setcap cap_net_raw+ep /path/to/openclaw binary 进行配置。在沙盒环境中测试集成，以避免影响生产环境。

错误处理

始终检查常见错误，例如无效的 PCAP 文件、网络超时或身份验证失败。在命令行中，错误会返回退出代码（例如，找不到文件时返回 1）。在 API 调用中，解析 HTTP 状态码：401 表示未授权（请检查 $NETWORK_FORENSICS_API_KEY），400 表示请求有误。在代码片段中使用 try-except：

try:
    response = requests.post('https://api.openclaw.com/api/network/analyze', ...)
    response.raise_for_status()
except requests.exceptions.HTTPError as err:
    print(f"Error: {err} - Verify API key and input format")
except Exception as e:
    print(f"Unexpected error: {e} - Retry with debug flag")

记录带时间戳的错误，并对暂时性问题最多重试 3 次。对于命令行，添加 --debug 标志以输出详细跟踪信息。

具体使用示例

  1. 分析捕获的 PCAP 文件以检测威胁：假设你有一个来自潜在安全漏洞事件的文件 suspicious.pcap。运行：openclaw network-forensics analyze --file suspicious.pcap --rules syn_flood。这会输出一份包含检测到的威胁的 JSON 报告。在代码中：使用 API 处理该文件，并在威胁数 > 5 时发出警报，然后集成电子邮件通知。

  2. 监控实时流量以检测入侵：在接口为 eth0 的服务器上，执行：openclaw network-forensics monitor --interface eth0 --duration 600 --alert-level medium。这会捕获 10 分钟的网络数据包，并标记端口扫描等异常情况。可将其编写成循环脚本来持续监控，例如通过 cron 作业运行，并将结果写入数据库以便长期分析。

图关系

  • 相关：intrusion-detection（共享威胁检测逻辑）
  • 依赖：log-analysis（用于关联网络日志）
  • 互补：endpoint-security（用于构建全面的蓝队防御）
  • 聚类：与 vulnerability-scanning 等“blue-team”技能聚类

评论

支持 Markdown