PCAP.

由 libpcap、tcpdump、Wireshark 等工具生成的二进制数据包捕获文件格式,按原样存储链路上的网络数据包。 它属于网络安全的 防御与运营 分类。

由 libpcap、tcpdump、Wireshark 等工具生成的二进制数据包捕获文件格式,按原样存储链路上的网络数据包。

PCAP(数据包捕获)文件记录原始帧及每包时间戳和链路层头部,是网络取证的通用语言。经典的 libpcap 格式及其后继 PCAPNG 被 tcpdump、Wireshark、Zeek、Suricata 以及众多安全设备所写入,数百种工具都可对其进行回放和分析。防御者用 PCAP 进行深度事件调查、恶意软件 C2 重构、协议排错和证据保全。运营上的难点包括高速率下的丢包、磁盘成本、合法侦听控制、加密(TLS 通常需要密钥日志或在网关上解密),以及全量包与 NetFlow 等元数据相比的留存策略。

针对 PCAP 的防御通常结合技术控制与运营实践,详见上方完整定义。

常见的别称包括: libpcap 文件, PCAPNG, 抓包文件。