# 抓包即铁证：网络取证与威胁分析引擎实测 ## 概述 当一份规范躺在文档里时，它只是"应该如此"；当一行报文被捕获下来时，它才是"事实如此"。本期实测聚焦 Claude Code 生态中真正能"让网络开口说话"的一类技能——**报文取证（PCAP）与安全威胁分析**引擎。这组技能横跨 5G 核心网协议调测、报文构造与重放、应用层威胁建模、代码安全所有权治理四大场景，与此前评测过的"规范即知识（读规范）""告警即闭环（看监控）""工单即执行（接系统）"形成清晰分层：前者读纸面、看大盘，本期则直接落到字节级证据。我们实测了 `pcap-analyzer`、`pcap-generator`、`pcap-modifier`、`security-threat-model`、`security-ownership-map`、`security-best-practices` 六款引擎，并旁及 `free5gc`、`UERANSIM` 两个实现层知识库，从功能完整度、上手难度、变现潜力、训练营适用性、社区活跃度五个维度给出结论。 --- ## 一、评测维度与权重 | 维度 | 权重 | 评价标准 | |------|------|---------| | 功能完整度 | 25% | 是否开箱即用？协议/语言覆盖是否齐全？输出是否可直接交付？ | | 上手难度 | 20% | 学习曲线如何？是否需要协议或安全前置基础？ | | 变现潜力 | 25% | 能否改造成付费服务/产品？B2B/B2C 定价空间？ | | 训练营适用性 | 15% | 能否用于教学？实验周期？造题/演练成本？ | | 社区活跃度 | 15% | 上游生态（tshark/git/OWASP）依赖度、本体更新频率 | --- ## 二、六款引擎横评总表 | 技能 | 功能完整度 | 上手难度 | 变现潜力 | 训练营适用性 | 社区活跃度 | 综合分 | |------|:---:|:---:|:---:|:---:|:---:|:---:| | **pcap-analyzer** | ★★★★★ | ★★★☆ | ★★★★★ | ★★★★★ | ★★★☆ | **9.3** | | **security-threat-model** | ★★★★☆ | ★★★☆ | ★★★★★ | ★★★★★ | ★★★☆ | **9.1** | | **security-best-practices** | ★★★★☆ | ★★★★★ | ★★★★☆ | ★★★★☆ | ★★★☆ | **8.6** | | **security-ownership-map** | ★★★★☆ | ★★★☆ | ★★★★☆ | ★★★☆ | ★★☆ | **8.0** | | **pcap-generator** | ★★★★☆ | ★★★☆ | ★★★☆ | ★★★★☆ | ★★☆ | **7.6** | | **pcap-modifier** | ★★★☆ | ★★★☆ | ★★★☆ | ★★★☆ | ★★☆ | **7.2** | > 注：上手难度五星代表"门槛最低、最易上手"，与其它维度方向一致。 --- ## 三、逐个深度评测 ### 1. pcap-analyzer —— 5G 报文取证的事实之王 **来源/安装**：脱胎于 `my-claude-skills/pcap-analyzer` 路线（社区亦见 `sandbornm/my-claude-skills`），本仓库内置。**核心能力**是：以 TShark 为后端引擎，接受自然语言查询（"分析这次注册失败的原因""PDU 会话为什么没建起来"），对 `.pcap/.pcapng` 做深度解析。协议覆盖是它真正的护城河——5G 核心网全栈 **NGAP、5G-NAS、PFCP、GTP、Diameter**，以及 IMS 域的 **SIP/SDP**，能把"注册流程、PDU 会话建立、切换流程"这些 3GPP 信令序列翻译成可读结论。 **评分**：功能 ★★★★★ / 上手 ★★★☆ / 变现 ★★★★★ / 训练营 ★★★★★ / 社区 ★★★☆。 **变现与训练营**：这是六款里商业天花板最高的一个。B2B 侧，5G 核心网调测、网优故障定位、IMS 排障是典型的高单价外包（单次割接排障报价常以万元计），把它包成"上传 PCAP → 自动出故障定位报告"的轻 SaaS，毛利可观。训练营侧，它是 5G 核心网/网优实战课的天然实验引擎——配合 `free5gc`+`UERANSIM` 跑通全流程、用 `pcap-generator` 造故障、用 `pcap-analyzer` 破案，正好构成一个"造案—取证—结案"的完整闭环，单期训练营可设置 8–10 个递进实验。**竞品对比**：市面 `NetForensicMCP`（基于 tshark 的通用取证）和 mcpmarket 上的 `wireshark-analysis`、`network-packet-analysis-forensics` 多停留在通用协议（HTTP/TLS/明文流量）层，`pcap-analyzer` 在 **5G SBA 信令栈**上明显更深，是目前少见的电信级取证技能。 ### 2. security-threat-model —— 把威胁变成可交付的报告 **来源/安装**：仓库内置 AppSec 技能。**核心能力**：面向一个代码库或路径，自动枚举**信任边界、资产、攻击者能力、滥用路径（abuse paths）与缓解措施**，最终产出一份简洁的 Markdown 威胁模型文档。它不写代码、不做架构摘要，而是严格围绕"威胁"展开，结构上贴近 STRIDE 与滥用用例（abuse case）范式。 **评分**：功能 ★★★★☆ / 上手 ★★★☆ / 变现 ★★★★★ / 训练营 ★★★★★ / 社区 ★★★☆。 **变现与训练营**：威胁模型是安全评估报告里最值钱、也最难量产的章节。把它接到售前流程里，"提交需求 → 半小时出威胁评估初稿 → 人工 30% 润色"，能把传统 3–5 人天的交付压缩到半天，直接拉高咨询人天单价。训练营侧，它天然适配 AppSec / 安全设计评审课程，且 2026 年正是 **OWASP Top 10 for Agentic Applications**（智能体十大风险：Goal Hijacking、Prompt Injection、工具滥用、数据外泄等）落地的窗口期，用它逐条对照"AI 智能体的信任边界"做教学，时效性极强。**竞品对比**：Gartner 2026 威胁建模自动化品类里多为 IriusRisk/ThreikModeler 等重型平台，本技能走"agent 原生、轻量 Markdown"路线，互补而非正面竞争。 ### 3. security-best-practices —— 最低门槛的安全门卫 **来源/安装**：仓库内置，仅在用户**显式**请求安全最佳实践审查时触发，限定 Python / JavaScript/TypeScript / Go 三大语言族。**核心能力**：按语言与框架给出特定（language/framework-specific）的安全最佳实践审查与改进建议，属于"安全编码 lint"的智能体版本。 **评分**：功能 ★★★★☆ / 上手 ★★★★★ / 变现 ★★★★☆ / 训练营 ★★★★☆ / 社区 ★★★☆。 **变现与训练营**：六款里**上手最易**——不需要安全背景，触发即用，适合做成 CI 里的安全 gate 或 IDE 侧边栏的"实时安全教练"。变现上可包装为面向中小团队的"代码安全体检"低客单产品，靠走量；也可嵌入 Snyk/Semgrep 难以覆盖的"业务逻辑安全"语境。训练营侧是安全编码入门课的标准教具，三语言覆盖足够支撑一门 12 课时的课。**竞品对比**：与 SAST 工具（Snyk、Semgrep、CodeQL）相比，它的优势在"上下文语义建议"而非规则匹配，劣势在确定性——适合做人工审查的初筛前置层。 ### 4. security-ownership-map —— 安全治理的"巴士因子"雷达 **来源/安装**：仓库内置，基于 git 历史构建**安全所有权拓扑**（people-to-file）。**核心能力**：计算 **bus factor（巴士因子）**、敏感代码的所有权集中度、孤立敏感代码（orphaned sensitive code）、CODEOWNERS 现实校验、敏感热点与所有权聚类，最终导出 CSV/JSON，可导入图数据库做可视化。 **评分**：功能 ★★★★☆ / 上手 ★★★☆ / 变现 ★★★★☆ / 训练营 ★★★☆ / 社区 ★★☆。 **变现与训练营**：这是六款里**差异化最强、竞品最少**的一个。它回答的不是"代码有没有漏洞"，而是"这段要命的代码，万一写它的人离职了怎么办"——这是 CISO 和工程负责人真正焦虑的治理问题。变现上适合做成 DevSecOps 治理报告、并购尽调中的代码风险盘点、年度安全审计的"组织风险"章节。训练营侧偏工程治理与"代码考古"，适合面向资深工程师/技术管理的进阶模块。**竞品对比**：GitHub 自带 Insights/CONTRIBUTORS 只给热度不给"敏感 × 所有权"的交叉视角，本技能的拓扑化输出独此一家。 ### 5. pcap-generator —— 取证引擎的弹药工厂 **来源/安装**：仓库内置，与 `pcap-analyzer` 同族。**核心能力**：按需生成测试报文与场景（正常注册、会话建立失败、超时、字段非法），用于回归测试、压测前置与教学造题。 **评分**：功能 ★★★★☆ / 上手 ★★★☆ / 变现 ★★★☆ / 训练营 ★★★★☆ / 社区 ★★☆。 **变现与训练营**：单独看变现偏窄（测试数据生成是个"配角"赛道），但它是**训练营的造题引擎**——能批量生成不同故障等级的 PCAP 样卷，把"找一份真实的失败报文"从几天压缩到几分钟，直接降低开课成本。和 `pcap-analyzer` 组成"出题—判题"对子后，商业价值才真正释放。**竞品对比**：底层多依赖 scapy 的协议构造能力，相比 scapy 的手写脚本，它把"造一个合规的 NGAP InitialUEMessage"变成自然语言一句话。 ### 6. pcap-modifier —— 攻防演练的注入器 **来源/安装**：仓库内置，同 PCAP 三件套。**核心能力**：对已有报文做字段篡改、重放（replay）、异常注入，模拟重放攻击与协议异常，是渗透测试与协议 Fuzz 的前置工具。 **评分**：功能 ★★★☆ / 上手 ★★★☆ / 变现 ★★★☆ / 训练营 ★★★☆ / 社区 ★★☆。 **变现与训练营**：价值在于**安全攻防演练**——红队用它构造畸形的 PFCP/NAS 报文测试网元健壮性，培训中可作为"攻击注入"实验。但需特别注意**合规红线**：重放与篡改真实生产报文可能触犯《网络安全法》与运营商安全红线，训练营场景必须限定在隔离的 `free5gc`/`UERANSIM` 沙箱内。**竞品对比**：定位比 scapy 更"场景化"，但功能边界也最需要产品化打磨才能脱离"高级脚本"印象。 --- ## 四、生态分类思维导图 ```mermaid mindmap root((网络取证与安全分析)) 报文取证 PCAP 分析解读 pcap-analyzer NGAP/PFCP/NAS/SIP 数据生产 pcap-generator 造故障样卷 攻防注入 pcap-modifier 重放与篡改 实现层知识库 free5gc 5GC 代码库 UERANSIM 模拟基站/终端 应用层安全 威胁建模 security-threat-model STRIDE/滥用路径 编码门卫 security-best-practices Py/JS/Go 组织治理 所有权拓扑 security-ownership-map bus factor 框架对齐 OWASP Top 10 Agentic 2026 3GPP TS 38.413 / 29.244 / 24.501 ``` --- ## 五、推荐排行榜 **🥇 变现之王 —— security-threat-model** 威胁模型是安全交付物里单价最高、最缺产能的一环，agent 原生 Markdown 产出 + 人工润色，能把咨询人天单价拉到天花板。 **🥇 训练营首选 —— pcap-analyzer** 5G 核心网信令栈深度无人能及，配合 generator/modifier/free5gc 可搭出完整"造案—取证—结案"闭环，是网优与核心网实战课的发动机。 **🥇 上手最易 —— security-best-practices** 零安全基础即可触发，三语言覆盖，最适合做成 CI gate 与入门课教具，靠走量变现。 **🥇 差异化最强 —— security-ownership-map** "敏感代码 × 所有权"的交叉视角独此一家，并购尽调、年度审计、DevSecOps 治理的稀缺弹药。 **🥇 攻防演练 —— pcap-modifier** 红队与协议健壮性测试的注入器，但务必锁在隔离沙箱内使用。 **🥇 数据生产 —— pcap-generator** 单看不显眼，却是降低训练营造题成本的关键配角，与 analyzer 成对才值钱。 **最佳组合**：`free5gc` + `UERANSIM`（搭环境）→ `pcap-generator`（造故障）→ `pcap-analyzer`（取证定位）→ `security-threat-model`（出具安全评估），这条链路可同时支撑一门 5G 安全训练营与一条 B2B 调测服务产品线，是本组技能的最高变现形态。 --- ## 参考来源 1. [Top 9 Claude Skills for Cybersecurity, Hacking, and Vulnerability Scanning — Snyk](https://snyk.io/articles/top-claude-skills-cybersecurity-hacking-vulnerability-scanning/) — 安全类 Claude 技能竞品全景，覆盖 OWASP 合规与漏洞扫描方向。 2. [NetForensicMCP — GitHub (kylecui)](https://github.com/kylecui/NetForensicMCP) — 基于 tshark 的通用 PCAP 取证方案，是 pcap-analyzer 在通用协议层的主要对标对象。 3. [Wireshark Network Forensics: Advanced Packet Analysis for 2026 — HackerXOne](https://hackerxone.com/wireshark-network-forensics-advanced-packet-analysis-for-2026/) — 2026 加密流量取证、JA3/JA4 指纹等行业趋势，为取证类技能的市场背景。 4. [OWASP Top 10 for Agentic Applications for 2026 — OWASP GenAI](https://genai.owasp.org/resource/owasp-top-10-for-agentic-applications-for-2026/) — 智能体安全十大风险（Goal Hijacking、Prompt Injection 等），security-threat-model 的教学与对齐框架。 5. [pcap-analyzer SKILL.md — sandbornm/my-claude-skills](https://github.com/sandbornm/my-claude-skills/blob/main/pcap-analyzer/skills/pcap-analyzer/SKILL.md) — pcap-analyzer 的原始技能定义，含 tcpdump/tshark 调用与 GUI 指引。 6. [How to Analyze 5G PCAPs in Wireshark: Step-by-Step Guide — 5G6G Academy](https://www.5g6gacademy.com/learn/wireshark-5g-pcap-analysis-guide) — 5G NAS/RRC/NGAP/HTTP/2 SBA 信令的 Wireshark 实操，对应 3GPP TS 38.413（NGAP）、TS 29.244（PFCP）、TS 24.501（5G NAS）。 > [!tip] 51学通信知识星球 > **星主：爱卫生**（微信：gprshome201101）——公众号「51学通信」创办者，19 年通信行业运维与讲师经验，著有《GPRS网络信令实例详解》《EPC原理与实践》《5G核心网原理与实践》三本纸质书（各大电商平台有售）。 > **星球定位**：深耕 5G 核心网、IMS、NFV/AI、云原生等 ICT 领域，主打运维岗位与信令分析。 > **当前规模**：5200 篇主题 / 990 个回答，198 元/年。 > **加入福利**：加入星球后请加爱卫生微信，拉您进知识星球年度陪伴与答疑群——不限量回复您的各种问题，另有群内分享。 > **AI 加持**：51学通信知识星球已作为 skill 接入 WorkBuddy，使用 deepseek-4-flash 在海量星球帖子中精准找贴、找视频、找 FAQ 和案例，做总结、找文档和 PPT 等场景全覆盖。