# Performing Network Traffic Analysis With Tshark

> 使用 tshark 和 pyshark 自动化网络流量分析，进行协议统计、可疑流量检测、DNS 异常识别以及从 PCAP 文件中提取威胁指标（IOC）

- Skill: `killvxk/performing-network-traffic-analysis-with-tshark` (Agent Skill, multi-file: 4 files)
- Install (CLI): `npx skillmds@latest add killvxk/performing-network-traffic-analysis-with-tshark`
- Raw SKILL.md: https://api.skillmd.com/api/skills/killvxk/performing-network-traffic-analysis-with-tshark/raw
- Safety review: pending
- Works with: Claude Code, Claude.ai, OpenAI Codex
- Category: Coding & Dev Tools
- License: Apache-2.0
- Author: killvxk (https://skillmd.com/u/killvxk)
- Updated: 2026-09-17
- Page: https://skillmd.com/skills/killvxk/performing-network-traffic-analysis-with-tshark

---


# 使用 TShark 进行网络流量分析

## 概述

本技能使用 tshark（Wireshark CLI）和 pyshark（Python 封装库）自动化数据包捕获分析。可提取协议分布统计、识别可疑网络流（端口扫描、信标行为（Beaconing）、数据外泄）、提取威胁指标（IOC）（IP、域名、URL），并从 PCAP 文件中检测 DNS 隧道（DNS Tunneling）模式。

## 前置条件

- 已安装 tshark（Wireshark CLI）并配置到 PATH
- Python 3.8+ 并安装 pyshark 库
- 用于分析的 PCAP 或 PCAPNG 捕获文件

## 步骤

1. **提取协议统计** — 从捕获文件生成协议层级和会话统计
2. **识别高流量主机** — 按流量和连接数对源/目标 IP 进行排名
3. **检测可疑流量** — 标记端口扫描模式、异常端口使用和高频连接
4. **提取网络 IOC** — 提取唯一 IP、DNS 查询中的域名和 HTTP 流量中的 URL
5. **分析 DNS 流量** — 通过高熵子域名查询和过量 TXT 记录检测 DNS 隧道
6. **生成分析报告** — 输出包含流量摘要和威胁指标的结构化报告

## 预期输出

- 包含协议统计和高流量主机的 JSON 报告
- 带严重级别的可疑流量检测结果
- 提取的 IOC（IP、域名、URL）
- DNS 异常分析结果