从 PCAP 到 IOC：基于 Anthropic-Cybersecurity-Skills 的网络流量事件分析工具 API 参考实战指南-北京尧图网络

从 PCAP 到 IOC基于 Anthropic-Cybersecurity-Skills 的网络流量事件分析工具 API 参考实战指南【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills在安全事件响应中网络流量取证往往承担最后一块拼图的职责确认 C2 信标、还原横向移动路径、量化数据外传规模。本文基于 Anthropic-Cybersecurity-Skills 仓库中analyzing-network-traffic-for-incidents网络流量事件分析技能包内的 API 参考文档 api-reference.md完整讲解 tshark、Zeek、Suricata、Scapy、NetworkMiner 五类工具在 PCAP 分析中的命令行用法与输出结构并结合该技能包随附的自动化分析脚本 agent.py 的源码实现说明这些命令如何在真实检测逻辑中被组合调用。读完本文你可以直接复制本文命令对事件 PCAP 开展 C2 识别、横向移动追踪与外传取证。这份 API 参考在技能包中的位置api-reference.md是技能 analyzing-network-traffic-for-incidents 的配套参考文档。该技能的 frontmatter 声明了它的适用场景与框架映射SKILL.md 第 1–30 行MITRE ATTCK 映射T1071应用层协议、T1095非标准端口、T1573加密通道、T1572协议隧道分别对应 C2 通信与数据外传的常见技术路径NIST CSF 2.0 映射RS.MA-01、RS.MA-02恶意软件分析、RS.AN-03、RC.RP-01覆盖事件响应与恢复规划函数激活条件当请求涉及网络流量分析、PCAP 分析、网络取证、C2 流量检测或外传检测时激活但明确不用于主机侧取证进程执行、文件系统痕迹应交给端点取证工具。技能包目录结构如下skills/analyzing-network-traffic-for-incidents/ ├── SKILL.md # 技能定义工作流、场景、输出格式 ├── references/ │ └── api-reference.md # 本文主角工具命令行 API 速查 ├── scripts/ │ └── agent.py # 基于 tshark/scapy/suricata 的自动化分析脚本 └── LICENSE # Apache-2.0参考文档覆盖的五个工具按分析深度分层tshark交互式字段/过滤查询、Zeek结构化元数据日志、Suricata基于规则的告警验证、Scapy可编程的包级统计、NetworkMiner工件批量提取。下文按文档原有骨架逐节展开并在每节中给出 agent.py 中对应的真实调用证据。tshark命令行 Wireshark 的 PCAP 查询接口基本语法tshark 是 Wireshark 的命令行前端离线分析 PCAP 的统一入口为tshark -r pcap_file [options]-r指定只读回放不抓包。后续所有能力都建立在显示过滤器输出格式两个维度上。显示过滤器-Y文档给出了事件分析中最常用的五类过滤场景tshark -r capture.pcap -Y ip.addr10.0.0.5 tshark -r capture.pcap -Y tcp.port445 # SMB tshark -r capture.pcap -Y http.request # HTTP 请求 tshark -r capture.pcap -Y dns.qr0 # DNS 查询qr0 表示 Query tshark -r capture.pcap -Y tcp.flags.syn1 tcp.flags.ack0 # 纯 SYN连接发起其中最后一条纯 SYN过滤是网络取证的经典手法SYN-only 包标识连接发起行为可剥离 ACK/数据流量用于还原主机的外联意图清单。agent.py 中的横向移动检测正是直接复用了这个过滤器connections run_tshark(pcap_path, tcp.flags.syn1 tcp.flags.ack0, [ip.src, ip.dst, tcp.dstport])同样dns.qr0过滤器被用于 extract_dns_queries() 批量拉取事件期间的全部 DNS 查询作为隧道/DGA 分析的原始输入。字段提取-T fields -e只输出特定协议字段、丢弃其余报文字节是处理 GB 级 PCAP 的关键tshark -r capture.pcap -T fields -e ip.src -e ip.dst -e tcp.dstport \ -Y tcp.flags.syn1-T fields切换到字段模式每个-e追加一个输出列。文档示例的语义是列出所有纯 SYN 连接的三元组源 IP → 目的 IP:目的端口。脚本侧的完整封装见 run_tshark()它在文档语法之外补充了一个实用参数-E separator|自定义列分隔符为管道符并做了防御性解析——只有列数与请求字段数一致的行才进入结果集避免 tshark 输出的警告行污染数据cmd [tshark, -r, pcap_path, -Y, display_filter, -T, fields] for f in fields: cmd [-e, f] cmd [-E, separator|] result subprocess.run(cmd, capture_outputTrue, textTrue, timeout120)统计视图-q -z-q静默-z type组合提供聚合统计无需人工浏览包列表tshark -r capture.pcap -q -z conv,ip # IP 会话双向流量对 tshark -r capture.pcap -q -z endpoints,ip # IP 端点清单 tshark -r capture.pcap -q -z io,stat,60 # 按分钟切片的 I/O 统计 tshark -r capture.pcap -q -z http,tree # HTTP 请求树 tshark -r capture.pcap -q -z dns,tree # DNS 查询树这些视图对应事件分析的不同诉求conv,ip回答谁和谁之间有多少流量是外传量化的第一道粗筛io,stat,60按 60 秒窗口统计可观察流量随时间的周期形态信标节奏的可视化http,tree/dns,tree则把请求按域名/路径聚合适合快速发现异常域名。agent.py 中有两处直接消费conv,ip输出get_pcap_summary()将 IP 会话表作为 PCAP 的高层摘要直接输出detect_data_exfiltration()逐行解析会话表中的双向字节数将超过阈值函数默认threshold_mb10主流程调用时收紧为 5 MB的流量对标记为外传嫌疑if total_bytes threshold_mb * 1024 * 1024: suspects.append({ ip_a: ip_a, ip_b: ip_b, bytes_a_to_b: bytes_a_to_b, bytes_b_to_a: bytes_b_to_a, total_mb: round(total_bytes / (1024 * 1024), 2), })对象导出--export-objects从 PCAP 中把经过明文协议传输的文件原样落盘是网络取证生成 IoC文件哈希的直接来源tshark -r capture.pcap --export-objects http,/tmp/http_objects tshark -r capture.pcap --export-objects smb,/tmp/smb_objects第一个参数指定协议第二个参数指定导出目录。脚本侧的 extract_http_objects() 将--export-objects http,dir封装为函数执行后遍历输出目录记录每个导出文件的文件名与大小形成网络通道中实际传输了哪些文件的清单cmd [tshark, -r, pcap_path, --export-objects, fhttp,{output_dir}] subprocess.run(cmd, capture_outputTrue, timeout60)注意其边界只能还原未加密通道HTTP/SMB 明文会话中的对象走 HTTPS 的传输在没有 SSL 解密能力的情况下无法导出——这正是 SKILL.md 在常见陷阱一节中提醒的第一条。Zeek从 PCAP 生成结构化事件日志PCAP 离线分析zeek -r capture.pcap zeek -r capture.pcap local # 加载本地策略脚本后分析与 tshark 的包级查询不同Zeek 是元数据生成器回放一遍 PCAP产出按协议切分的 TSV 日志。输出日志一览日志文件内容conn.logTCP/UDP/ICMP 连接五元组、字节数、时长dns.logDNS 查询与应答http.logHTTP 请求ssl.logTLS/SSL 握手含证书信息files.log文件传输notice.log内置策略触发的安全告警事件分析的主战场是conn.log信标与外传与dns.log隧道与 DGASKILL.md 的 Workflow 中确认 C2 信标与量化外传两个步骤的示例命令均建立在这两份日志之上。zeek-cut 字段提取zeek-cut按列名抽取日志字段是替代awk按位置取列的更稳健写法cat conn.log | zeek-cut id.orig_h id.resp_h id.resp_p proto service cat dns.log | zeek-cut query qtype_name answers cat http.log | zeek-cut host uri method user_agent三条命令分别对应连接画像源→目的:端口、协议、识别出的服务、DNS 全景查询名、类型、应答、HTTP 行为画像主机、URI、方法、User-Agent。其中user_agent是 C2 框架指纹的常见落点qtype_name则是识别 TXT 隧道qtype16的关键列。Suricata对 PCAP 做规则验证离线回放suricata -r capture.pcap -l /tmp/output -k none suricata -r capture.pcap -S custom.rules -l /tmp/output-r离线回放 PCAP-l输出目录-k none关闭校验和验证对抓包时剥离校验和或截断的 PCAP 是必需的容错项-S追加自定义规则文件用于针对已知威胁追加检测。输出文件文件内容fast.log单行告警格式快速浏览eve.jsonJSON 事件日志结构化、信息最全适合下游管道stats.log引擎性能统计SKILL.md 把 Suricata 定位为一项特定工作IDS/IPS 告警需要包级验证以确认或排除——即用它对已捕获流量做规则复现。agent.py 中的 detect_ids_alerts() 给出了完整自动化形态输出目录可由环境变量SURICATA_OUTPUT_DIR覆盖默认为系统临时目录下执行suricata -r pcap -l dir -k none后只读fast.log并逐行收集告警文本保持与文档fast.log 一行一告警的约定一致。横向移动端口速查表文档将横向移动的高价值端口整理成速查表这是网络侧识别内部横向的最快手段端口服务意义445SMB文件共享、PsExec、WMI3389RDP远程桌面5985/5986WinRMPowerShell 远程22SSH安全 Shell135RPCDCOM、WMI139NetBIOS遗留文件共享脚本 detect_lateral_movement() 把这张表实现为端口→服务映射字典并对5985/5986做了更细的区分lateral_ports {445: SMB, 3389: RDP, 5985: WinRM, 5986: WinRM-S, 22: SSH, 135: RPC, 139: NetBIOS}检测逻辑是先按纯 SYN过滤器见 tshark 一节拿到全部连接发起三元组再逐条比对目的端口是否落在上表命中即记为一条横向移动流{src, dst, port, service}。这与端口表的语义一一对应——445 对应 PsExec/SMB 传播3389 对应 RDP5985/5986 对应 WinRM5986 为带 TLS 的 WinRM-S 通道。Scapy可编程的包级统计PCAP 读取基础文档给出的最小可用示例演示了按层解包与字段访问from scapy.all import rdpcap, IP, TCP packets rdpcap(capture.pcap) for pkt in packets: if IP in pkt and TCP in pkt: print(pkt[IP].src, pkt[TCP].dport)rdpcap一次性载入全部包适合中小 PCAP超大文件建议改用PcapReader流式读取。当过滤逻辑无法用 tshark 显示过滤器表达时Scapy 提供了完整的 Python 编程能力。用 Scapy 做信标检测agent.py 的 detect_beaconing() 是文档 Scapy 用法的实战延伸完整参数如下def detect_beaconing(pcap_path, min_conns10): packets rdpcap(pcap_path) conn_times defaultdict(list) for pkt in packets: if IP in pkt and TCP in pkt and (pkt[TCP].flags 0x02): # SYN 位 key f{pkt[IP].src}-{pkt[IP].dst}:{pkt[TCP].dport} conn_times[key].append(float(pkt.time)) ...算法与判定阈值值得逐项理解只取 SYN 包flags 0x02与 tshark 的tcp.flags.syn1 tcp.flags.ack0等价保证统计的是连接发起时刻而非数据流时间按src-dst:port聚合成流每流要求连接次数 ≥min_conns默认 10 次才进入判定避免小样本假阳计算相邻连接时间间隔的均值与标准差得到平均周期与抖动率jitter std/avg*100判定条件5 avg 7200周期落在 5 秒到 2 小时之间且jitter 30抖动低于 30%——这正是 SKILL.md 所述固定间隔如 60 秒 ±10–15% 抖动的信标特征的程序化表达。输出结构为{flow, connections, avg_interval, jitter_pct}可直接作为 C2 确认结论写入报告。NetworkMiner一键工件批量提取NetworkMiner 面向从 PCAP 里能掏出什么就全掏出来的取证阶段NetworkMiner --inputfile capture.pcap --outputdir /tmp/artifacts--inputfile指定 PCAP--outputdir指定输出目录。执行后可获得六类工件文件、图片、凭据、会话、DNS 记录、请求参数。它弥补了 tshark--export-objects只按协议导出的不足——NetworkMiner 会跨协议做凭据与会话级关联适合在事件 PCAP 上做第一轮广撒网式提取再对可疑工件做逐一手动复核。把 API 组合起来技能包的端到端自动化参考文档中分散的五组命令在 agent.py 的__main__入口第 170–205 行中被编排成一条完整流水线python agent.py capture.pcap主流程依次执行四个检测环节并汇总报告generate_incident_report() 输出findings计数明细环节底层 API对应本文小节脚本实现信标检测Scapyrdpcap SYN 间隔统计detect_beaconing()横向移动检测tshark-Y tcp.flags.syn1 tcp.flags.ack0 端口表detect_lateral_movement()外传检测tshark-q -z conv,ip 字节阈值detect_data_exfiltration()DNS 查询提取tshark-Y dns.qr0字段提取extract_dns_queries()另有两个按需调用的辅助能力detect_ids_alerts()Suricata 回放 fast.log 收集与 extract_http_objects()HTTP 对象导出。脚本对 scapy 做了可选依赖处理HAS_SCAPY标志——未安装 scapy 时信标检测优雅降级为空结果而非崩溃其余环节仍可运行。结合 SKILL.md 的六步工作流获取流量 → 识别 C2 → 分析横向 → 检测外传 → 提取 IOC → 出具报告参考文档的每条命令都能落到具体步骤上tshark 统计与过滤器服务第 2–4 步Zeek 日志与 zeek-cut 服务第 2、4、5 步Suricata 服务告警确认NetworkMiner 与对象导出服务第 5 步的工件收集。小结如何查阅与复用这份参考命令速查直接检索 api-reference.md按工具分节tshark / Zeek / Suricata / 端口表 / Scapy / NetworkMiner所有示例均可原样复制执行参数与阈值的源码级依据信标判定的min_conns10、周期窗口5–7200s、抖动阈值30%外传阈值默认 10 MB、主流程 5 MB横向端口映射含 5986→WinRM-S 细分均可见于 agent.py方法论上下文信标特征清单、外传过滤示例、报告模板含 JA3、TLS 证书、帧号与时间戳证据引用见 SKILL.md框架对齐该技能映射到 MITRE ATTCK 的 T1071/T1095/T1573/T1572 与 NIST CSF 2.0 的 RS.MA-01/02、RS.AN-03、RC.RP-01仓库级映射说明可参考 mappings/README.md 与 mappings/nist-csf/README.md。适用前提上述命令均要求目标 PCAP 已在本地可读且分析机安装了对应工具tshark、zeek、suricata、scapy、NetworkMinerZeek 与 Suricata 的离线回放耗时随 PCAP 规模线性增长GB 级流量建议先用 tshark 统计视图缩小范围再对命中时间段做深度分析。【免费下载链接】Anthropic-Cybersecurity-Skills817 structured cybersecurity skills for AI agents · Mapped to 6 frameworks: MITRE ATTCK, NIST CSF 2.0, MITRE ATLAS, D3FEND, NIST AI RMF MITRE F3 (Fight Fraud) · agentskills.io standard · Works with Claude Code, GitHub Copilot, Codex CLI, Cursor, Gemini CLI 20 platforms · 29 security domains · Apache 2.0项目地址: https://gitcode.com/GitHub_Trending/an/Anthropic-Cybersecurity-Skills创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考

从 PCAP 到 IOC：基于 Anthropic-Cybersecurity-Skills 的网络流量事件分析工具 API 参考实战指南

相关推荐

TradingAgents-CN 市场分析师报告解读：以 000002 技术分析报告为例的指标体系与生成机制

LeetCode-Go 第 40 题实战：Combination Sum II 的 Go 回溯解法与排序去重关键逻辑

Python实现替换密码破解：频率分析与爬山算法实战

更多资讯

C# SSO单点登录实现：JWT Token与认证中心实战指南

用多因子宏观模型拆解黄金七连跌：实际利率与通胀预期的定价逻辑

K8s服务发现原理与排障实战：从Pod IP到CoreDNS

Mantine Vanilla Extract 集成指南：用 themeToVars 将 Mantine 主题转换为类型安全的 CSS 变量

基于Python的热门游戏推荐系统设计与实现：从算法到部署全解析

SAP PS项目类型与编码方案匹配：OPSK/OPSJ配置与排查实战

今日更新

CopilotKit Vue Demo 与 React Demo 的 Parity 实现指南：路由、运行时端点与交互语义的全框架对齐

Harbor RBAC 实战：db_auth 模式下非管理员用户管理项目成员的完整验证与权限模型解析

STM32平衡车纯平衡程序从拆包到参数整定的完整调试指南

本周精选

超人会飞不算本事：系统稳定依赖清晰规则与边界设计

超人VS蜘蛛侠：拆解超级IP的影响力与传播方法论

基于CNN的调制信号识别：MATLAB实现时频图分类实战

本月热门

基于YOLO的焊缝缺陷检测：从数据标注到工业部署全流程实践

分布式服务的决策记录

创业产品的首版范围

读完文章，想聊聊您的网站？