DDoS 攻击流量分析

要解决什么问题

安全与运维同学拿到一段 PCAP/CAP 抓包后，往往需要在短时间内判断：是否存在 DDoS、主要是哪几类攻击、源 IP 地理分布如何、协议占比是否异常。手工用 tcpdump 或临时脚本逐段看包，既慢又容易漏掉 SYN Flood、UDP Flood、DNS 反射放大、ICMP Flood 等典型模式。

本技能面向「已有抓包文件或远程 URL」这一输入形态，用固定分析脚本做统计与类型识别，再在检出攻击时输出结构化报告（含图表），而不是在未跑工具的情况下凭模型臆造数据。

技能如何工作

调用方需通过 skill_run 执行 ./scripts/ddos_attack_analysis.py，并传入 PCAP 的绝对路径 或 http(s) URL（脚本内自动区分；URL 通过 HTTP Range 按需读取，不必先整包下载）。相对路径或对话里的 @附件 须由调用方先解析为绝对路径，因执行时工作目录在技能目录内，相对路径会找不到文件。

脚本按约 2 万包分片读取，降低大文件内存压力，输出 JSON：总包数、detected_attacks 中的攻击类型、地理分布、协议统计、威胁等级等。报告只展示 包数大于 0 的攻击类型与国家，不把未检出或计数为 0 的项写进统计与图表；High Packet Rate、High Connection Rate 等系统异常单独处理，不计入攻击类型。

检出攻击时，报告应覆盖攻击概况、各类型技术特征、地理 TOP 与交叉分布、威胁与业务影响；分布类数据须嵌入 ECharts，且每个图表后附等价 Markdown 表格作兜底。防护建议章节绑定 腾讯云 DDoS 高防 文档（入口 https://cloud.tencent.com/document/product/297）：生成前须通过联网文档工具查阅入口页与至少一个具体配置子页；查阅失败则在该章节开头明示降级，并给出不超过 5 条通用建议。未检测到攻击 时只需回复「未发现攻击行为」，不必出完整报告或防护建议。

适用边界与注意点

• 分析逻辑 厂商无关；高防配置建议仅在有攻击且能查阅文档（或降级）时产出，禁止凭记忆编造控制台项。
• 大 PCAP 可能长时间运行；超时宜延长重试，而非改用 tcpdump 或自写分析代码替代本脚本。
• 禁止在未执行本地分析工具的情况下生成攻击数据或完整报告。