PCAP-Analyzer

🔍 集成MCP的PCAP分析器

一个功能强大的网络数据包分析工具，具备 模型上下文协议（MCP） 实现无缝大型语言模型（LLM）交互的集成。通过GitHub Copilot、Claude或ChatGPT等AI助手，使用自然语言命令分析网络流量。

🌟 特点

🚀 表情符号“🚀”在中文中通常被翻译为“火箭”或保持原样作为表情符号使用，因为它本身是一个通用的火箭形象，广泛用于表示快速进展、发射、旅行或兴奋等含义。在没有具体上下文的情况下，直接翻译可能无法完全传达其隐含的意义，所以作为表情符号直接使用也是常见做法。 核心分析能力

• 协议检测TCP，UDP，HTTP，HTTPS，QUIC
• 流量分析具有定时和吞吐量的双向交通模式
• 端口分析对特定端口进行详细分析，提供安全见解
• IP分析特定主机的入站/出站流量分析
• 安全检测扫描、侦察及异常模式的自动识别

机器人 MCP 集成

• 自然语言接口请求AI助手分析网络流量
• VS Code 集成与GitHub Copilot及其他大型语言模型（LLM）扩展工具兼容
• 实时分析通过对话式人工智能进行交互式PCAP分析
• 自动化报告人工智能生成的安全评估与建议

🛡️ 翻译成中文是：盾牌 安全功能

• 威胁检测识别网络扫描和侦察企图
• 异常检测标记异常的流量模式和失败的连接
• 攻击模式识别检测协同扫描活动
• 安全报告详细的威胁分析及可操作的建议

📋 先决条件

• Python 3.8及以上版本
• Scapy库 用于数据包分析
• FastMCP框架 用于大型语言模型（LLM）集成
• VS Code（Visual Studio Code） （可选，用于MCP集成）

🚀 快速入门

1. 安装

# Clone the repository
git clone 
cd PCAP_Analyser

# Install dependencies
pip install -r requirements.txt

2. 基本用法

直接Python分析

from simple_analyzer import SimpleProtocolAnalyzer

# Create analyzer instance
analyzer = SimpleProtocolAnalyzer()

# Analyze PCAP file
results = analyzer.analyze_pcap('path/to/your/capture.pcap')

# Filter by port
port_flows = analyzer.filter_by_port(443)

# Filter by IP
ip_flows = analyzer.filter_by_ip('192.168.1.1')

MCP服务器模式（用于AI集成）

# Start MCP server
python3 mcp_server.py --mcp

# The server will listen for LLM requests

3. VS Code + AI 集成

1. 配置 VS Code MCP（注：MCP 可能代表某种特定配置或插件，具体含义需根据上下文确定，此处直译为“配置 VS Code MCP”） （创建 .vscode/mcp.json)：

{
  "mcpServers": {
    "pcap-analyzer": {
      "command": "python3",
      "args": ["mcp_server.py", "--mcp"],
      "cwd": "/path/to/PCAP_Analyser",
      "env": {
        "PYTHONPATH": "/path/to/PCAP_Analyser"
      }
    }
  }
}

1. 与AI助手一起使用:

"Load the network capture tcp-logs.pcap"
"Analyze flows for port 443"
"Check if there are any security issues with port 51570"
"Show me all HTTPS traffic patterns"
"Is there any scanning activity in this capture?"

📁 文件结构

PCAP_Analyser/
├── README.md                 # This file
├── requirements.txt          # Python dependencies
├── simple_analyzer.py        # Core PCAP analysis engine
├── mcp_server.py            # MCP server for LLM integration
├── mcp_config.json          # MCP configuration
├── PCAPs/                   # Directory for PCAP files
│   ├── tcp.pcap             # Sample TCP logs

🔧 可用的MCP工具

1. 加载pcap文件

# Load PCAP file for analysis
load_pcap_file('capture.pcap')

2. 分析端口流量

# Analyze specific port traffic
analyze_port_flows(443)  # HTTPS traffic
analyze_port_flows(22)   # SSH traffic

3. 分析IP流量

# Analyze specific IP address
analyze_ip_flows('192.168.1.100')

4. 分析协议流

# Analyze by protocol
analyze_protocol_flows('TCP')
analyze_protocol_flows('HTTPS')
analyze_protocol_flows('QUIC')

5. 获取PCAP摘要

# Get overall PCAP summary
get_pcap_summary()

🛡️ 安全分析示例

网络扫描检测

# The analyzer automatically detects:
# - Port scanning attempts
# - Failed connection patterns
# - Reconnaissance activities
# - Coordinated attack campaigns

# Example output:
"""
🚨 SECURITY ISSUE DETECTED for Port 51570
❌ Part of Massive Scanning Campaign
- Same attacker: 10.10.28.14
- Same target: 10.10.28.35:1470
- Pattern: Failed connection attempts
- Duration: 2+ hours of sustained activity
"""

QUIC分析

# Analyze QUIC version negotiation failures
analyze_protocol_flows('QUIC')

# Detects:
# - Version negotiation failures
# - Protocol compatibility issues
# - Connection establishment problems

📊 样本分析输出结果

🔍 Flow Analysis for Port 443
PCAP File: network_capture.pcap
============================================================

📊 Summary:
  • Found 2 flows involving port 443
  • Total packets: 28,794
  • Total bytes: 26,966,480

🔍 Detailed Flow Analysis:

Flow 1: 🔄 Outbound from port 443
  Source: 192.168.1.10:41948 → Destination: 192.168.1.20:443
  Protocol: HTTPS
  Timeline: 21:23:11.982 → 21:23:48.572 (Duration: 36.590s)
  Traffic Volume: 9,610 packets, 519,907 bytes
  Throughput: 262.6 packets/sec, 14,209 bytes/sec

💡 Flow Analysis Summary:
  • Protocols involved: HTTPS
  • Normal HTTPS traffic pattern detected
  • No security issues identified

🎯 使用场景

网络安全分析

• 检测端口扫描和网络侦察
• 识别失败的连接尝试和攻击模式
• 分析特定协议的漏洞
• 生成自动化安全报告

性能监控

• 分析网络吞吐量和延迟
• 识别带宽占用大的应用
• 监控连接模式和持续时间
• 跟踪协议分发

故障排除

• 诊断连接故障
• 分析协议协商问题
• 识别网络瓶颈
• 调试应用程序通信问题

基于人工智能的分析

• 自然语言网络分析查询
• 利用AI洞察实现自动化威胁检测
• 会话网络取证
• 智能模式识别

🔮 高级功能

自定义协议检测

该分析器可以扩展以检测自定义协议和特定于应用程序的模式。

实时分析

处理实时网络流量或流式PCAP数据。

已准备好集成

• 用于网页集成的REST API端点
• 用于自动化的命令行界面
• 导出功能（JSON、CSV、HTML报告）

🤝 贡献

1. 为仓库创建分支（或：为仓库进行叉操作）
2. 创建一个特性分支
3. 添加您的改进
4. 提交一个拉取请求

📝 许可证

此项目采用MIT许可证授权——详情请参阅LICENSE文件。

🆘 支持

• 问题在GitHub上报告错误并提出功能需求
• 文档请查看代码注释中的详细API文档
• 示例查看 examples/ 使用示例目录

🙏 致谢

• Scapy强大的数据包处理库
• FastMCP模型上下文协议实现
• VS Code（Visual Studio Code，简称VS Code）优秀的MCP集成支持

______________________________________________________________________

准备好用AI分析您的网络流量了吗？现在就开始吧！ 🚀 表情符号“🚀”通常被用来表示火箭、快速移动或加速等含义。在中文中，它可以直接用作描述或比喻，例如：“火箭发射升空🚀”或“速度飞快🚀”。因此，这个表情符号在中文语境下可以灵活地传达类似的意思。