mcpField
P
performing-network-traffic-analysis-with-tshark

performing-network-traffic-analysis-with-tshark

github.com/mukul975安全35.2k112 次安装8 周前更新
代码仓库

关于 performing-network-traffic-analysis-with-tshark

使用 tshark 和 pyshark 分析 PCAP 网络捕获文件的技能，面向安全评估和事件响应。它提取协议与流量指标、网络 IOC，并检查可疑连接和 DNS 隧道迹象。

主要功能

  1. 01统计协议与通信会话
  2. 02按流量和连接数识别通信主机
  3. 03发现扫描和异常连接模式
  4. 04提取 IP、域名和 URL
  5. 05检测 DNS 隧道迹象
  6. 06生成结构化分析报告

适用场景

  1. 01分析事件响应中的 PCAP 文件
  2. 02检查网络安全评估捕获的流量
  3. 03识别可疑外联与数据传输
  4. 04汇总 DNS 异常和网络 IOC

安装

复制下面的命令，在终端中运行。

$npx skills add https://github.com/mukul975/anthropic-cybersecurity-skills --skill performing-network-traffic-analysis-with-tshark

安装后在 Claude Code 中输入/performing-network-traffic-analysis-with-tshark确认已加载。

包含的文件

除 SKILL.md 外，安装时一起下载的参考资料和脚本。

LICENSE
references/
api-reference.md
scripts/
agent.py

详细介绍

使用 TShark 执行网络流量分析

概述

此技能使用 tshark（Wireshark 命令行）和 pyshark（Python 封装）自动化数据包捕获分析。它从 PCAP 文件中提取协议分布统计信息，识别可疑网络流（端口扫描、信标、数据外泄），提取 IOC（IP、域名、URL），并检测 DNS 隧道模式。

何时使用

  • 当进行涉及使用 tshark 执行网络流量分析的安全评估时
  • 当遵循相关安全事件的事件响应流程时
  • 当执行计划的安全测试或审计活动时
  • 当通过动手测试验证安全控制时

前提条件

  • 已安装 tshark（Wireshark 命令行）并在 PATH 中
  • Python 3.8+ 及 pyshark 库
  • 用于分析的 PCAP 或 PCAPNG 捕获文件

步骤

  1. 提取协议统计信息 — 从捕获中生成协议层次结构和会话统计信息
  2. 识别主要通信方 — 按流量和连接数对源/目标 IP 进行排名
  3. 检测可疑流 — 标记端口扫描模式、异常端口使用和高频连接
  4. 提取网络 IOC — 从 DNS 查询中提取唯一 IP、域名，从 HTTP 流量中提取 URL
  5. 分析 DNS 流量 — 通过高熵子域查询和过多的 TXT 记录检测 DNS 隧道
  6. 生成分析报告 — 生成包含流摘要和威胁指标的结构化报告

预期输出

  • 包含协议统计信息和主要通信方的 JSON 报告
  • 带严重性评级的可疑流检测结果
  • 提取的 IOC（IP、域名、URL）
  • DNS 异常分析结果

评论

支持 Markdown