📦

analysis-tshark

Name: analysis-tshark
Author: AgentSecOps

v0.1.0 مراجعة المحتوى r2 حرج ⚙️ الأوامر الخارجية🌐 الوصول إلى الشبكة📁 الوصول إلى نظام الملفات🔑 متغيرات البيئة⚡ يحتوي على سكربتات

تحليل حركة مرور الشبكة باستخدام TShark

يمكن أن تخفي عمليات التقاط الحزم حوادث وبيانات اعتماد مكشوفة وأنماط حركة مرور غير طبيعية. ترشد هذه المهارة سير عمل التقاط TShark المصرح به، والتصفية، والاستخراج، وإعداد التقارير.

يدعم: Claude Codex Code(CC)

⚠️ 38 ضعيف

لا تثبّت هذا Skill تلقائيًا.

تتطلب السياسة المعتمدة مراجعة المشغّل قبل أي إجراء تثبيت.

التثبيت باستخدام Agent لدي

انسخ هذا الطلب إلى Agent لديك. يتضمن صفحة Skill المعتمدة وملف manifest.

طلب الوكيل

Review the Skillstore skill "analysis-tshark" from https://skillstore.io/skills/agentsecops-analysis-tshark.md and its manifest at https://skillstore.io/api/skills/agentsecops-analysis-tshark/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

يجب أن يواصل Agent عرض خطته وطلب أي تأكيد تفرضه سياسة الأمان.

موارد مهيّأة لـ Agents

استخدم هذه الروابط عندما يحتاج AI Agent أو crawler أو script إلى سياق نظيف بدلًا من قراءة الصفحة كاملة.

تفاصيل Markdown GET /skills/agentsecops-analysis-tshark.md manifest موقَّع GET /api/skills/agentsecops-analysis-tshark/manifest lockfile موقَّع GET /api/skills/agentsecops-analysis-tshark/lockfile

اختبرها

جارٍ استخدام "analysis-tshark". ملف pcap من محطة عمل يُشتبه في تعرضها للاختراق.

النتيجة المتوقعة:

ملخص للبروتوكولات، وأهم المحادثات، ومؤشرات DNS وHTTP، وملاحظات حول النقل المشبوه، وخطوات الفرز التالية الموصى بها.

جارٍ استخدام "analysis-tshark". طلب لالتقاط حركة المرور أثناء نافذة حادث مدتها خمس دقائق.

النتيجة المتوقعة:

خطة التقاط محددة النطاق تتضمن فحوصات الواجهة ومرشحات الالتقاط وحدود المدة وضوابط التخزين وإرشادات التنظيف.

جارٍ استخدام "analysis-tshark". حاجة إلى العثور على بيانات اعتماد بنص واضح في حركة مرور بروتوكولات قديمة.

النتيجة المتوقعة:

خطة مراجعة مضبوطة تسرد مرشحات البروتوكولات وقواعد التعامل مع الأسرار ومتطلبات التنقيح للتقارير.

التدقيق الأمني

حرج

v9 • ٢٣‏/٧‏/٢٠٢٦ فتح التقرير المرتبط بالإصدار

Most static alerts are false positives caused by Markdown formatting, defensive examples, offline packet filters, and framework terminology. Confirmed risks include remote pipe-to-shell installation, mutable third-party token exposure, privileged packet capture, and TLS key handling. Credential extraction and packet-metadata email alerts add sensitive-data exposure.

الملفات التي تم فحصها

2,168

الأسطر التي تم تحليلها

عناصر المراجعة

تم تجاهل الإيجابيات الكاذبة

مخاوف أمنية مؤكدة (5)

حرج

assets/ci-config-template.yml:240

Pipe to shell pattern

curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash

The CI template downloads a script from a mutable upstream branch and pipes it directly to bash. A compromised repository or changed script would gain code execution in the CI runner.

مرتفع

SKILL.md:608

Certificate/key files

tshark -r capture.pcap -o tls.keylog_file:sslkeys.log -Y "http"

The command consumes a TLS key-log file to decrypt captured traffic. Key-log files contain session secrets and require strict access, retention, and deletion controls.

مرتفع

SKILL.md:611

Certificate/key files

tshark -r capture.pcap -o tls.keys_list:192.168.1.100,443,http,/path/to/server.key

The command directs TShark to read a server private-key file for traffic decryption. Private-key access is highly sensitive and can expose protected sessions if mishandled.

مرتفع

SKILL.md:275-320 SKILL.md:473-487

Credential and Authentication Artifact Extraction

The guide instructs users to extract plaintext credentials, NTLM responses, HTTP POST bodies, and authentication data from captures. These dual-use workflows can expose reusable secrets and personal data if authorization or storage controls fail.

The cited sections explicitly provide commands for credential extraction and writing POST data or NTLM responses to local files.

متوسط

SKILL.md:550-555

Packet Metadata Disclosure Through Email Alerts

The monitoring example emails packet-derived source, destination, host, and DNS data to a configured mailbox. This can disclose monitored network metadata through an external mail path.

The script pipes each TShark alert line into the mail command, and the selected fields include internal addresses, HTTP hosts, and DNS names.

عناصر مراجعة القدرات (32)

هذه قدرات محلية حقيقية قد يُتوقع وجودها لهذه المهارة، لذا فهي تتطلب مراجعة ولكن لا تُحتسب كسلوك خبيث مؤكد.

مرتفع

assets/ci-config-template.yml:240

Hardcoded URL

curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash

This URL retrieves executable installation code from a mutable upstream branch. The network dependency directly supports the unsafe pipe-to-shell command on the same line.

مرتفع

assets/ci-config-template.yml:164

Git platform tokens

GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

The workflow exposes GITHUB_TOKEN to a third-party action referenced by a mutable version tag. Compromise of that action could disclose or misuse the job token within its granted permissions.

مرتفع

SKILL.md:38

sudo privilege escalation

sudo tshark -i eth0

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:41

sudo privilege escalation

sudo tshark -i eth0 -c 100 -w capture.pcap

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:87

sudo privilege escalation

sudo tshark -D

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:90

sudo privilege escalation

sudo tshark -i eth0

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:91

sudo privilege escalation

sudo tshark -i wlan0

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:94

sudo privilege escalation

sudo tshark -i any

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:97

sudo privilege escalation

sudo tshark -i eth0 -i wlan0

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:113

sudo privilege escalation

sudo tshark -i eth0

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:116

sudo privilege escalation

sudo tshark -i eth0 -c 1000

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:119

sudo privilege escalation

sudo tshark -i eth0 -a duration:60

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:122

sudo privilege escalation

sudo tshark -i eth0 -w capture.pcap

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:125

sudo privilege escalation

sudo tshark -i eth0 -w capture.pcap -b filesize:100000 -b files:5

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:141

sudo privilege escalation

sudo tshark -i eth0 -f "tcp port 80"

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:144

sudo privilege escalation

sudo tshark -i eth0 -f "host 192.168.1.100"

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:147

sudo privilege escalation

sudo tshark -i eth0 -f "net 192.168.1.0/24"

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:150

sudo privilege escalation

sudo tshark -i eth0 -f "tcp port 80 or tcp port 443"

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:153

sudo privilege escalation

sudo tshark -i eth0 -f "not port 22"

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:156

sudo privilege escalation

sudo tshark -i eth0 -f "tcp[tcpflags] & tcp-syn != 0"

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:441

sudo privilege escalation

sudo tshark -i eth0 -w incident_$(date +%Y%m%d_%H%M%S).pcap -a duration:300

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:458

sudo privilege escalation

sudo tshark -i eth0 -w malware_traffic.pcap

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:477

sudo privilege escalation

sudo tshark -i eth0 -Y "(http.authorization or ftp or pop or imap) and not tls" -T fields -e ip.src

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:509

sudo privilege escalation

sudo tshark -i mon0 -w wireless_capture.pcap

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:550

sudo privilege escalation

sudo tshark -i $INTERFACE -Y "$ALERT_FILTER" -T fields -e frame.time -e ip.src -e ip.dst -e http.hos

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:565

sudo privilege escalation

sudo tshark -i eth0

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:568

sudo privilege escalation

sudo usermod -a -G wireshark $USER

This command uses sudo to persistently add the current user to the wireshark group. That expands packet-capture access beyond the current session and requires explicit administrator approval.

مرتفع

SKILL.md:569

sudo privilege escalation

sudo setcap cap_net_raw,cap_net_admin+eip /usr/bin/tshark

This command uses sudo to grant TShark raw-network and network-administration capabilities. Those persistent capabilities permit sensitive packet capture without future sudo prompts.

مرتفع

SKILL.md:582

sudo privilege escalation

sudo tshark -D

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:594

sudo privilege escalation

sudo tshark -i eth0 -f "not port 22" -w capture.pcap

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:597

sudo privilege escalation

sudo tshark -i eth0 -w capture.pcap -b filesize:100000 -b files:5

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

مرتفع

SKILL.md:600

sudo privilege escalation

sudo tshark -i eth0 -s 128 -w capture.pcap

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

عوامل الخطر

⚙️ الأوامر الخارجية (50)

🌐 الوصول إلى الشبكة (37)

📁 الوصول إلى نظام الملفات (2)

assets/ci-config-template.yml:323 assets/ci-config-template.yml:323

🔑 متغيرات البيئة (23)

⚡ يحتوي على سكربتات (2)

references/EXAMPLE.md:138 references/EXAMPLE.md:137

الأنماط المكتشفة

Pipe to shell pattern

دقّقه: codex عرض سجل التدقيق →

شارك واستشهد بهذا التقرير

شارك تقرير التقييم المرتبط بالإصدار والشارة المحايدة وبطاقة التضمين والاستشهادات. تعرض Skillstore الأدلة من دون أن تقرر ما إذا كانت هذه المهارة آمنة.

فتح التقرير المرتبط بالإصدار

نسخ رابط التقرير

https://skillstore.io/skills/agentsecops-analysis-tshark/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

شارة Markdown

[![Skillstore security assessment](https://skillstore.io/badges/skills/agentsecops-analysis-tshark/security.svg)](https://skillstore.io/skills/agentsecops-analysis-tshark?utm_source=security_passport_badge)

شارة HTML

<a href="https://skillstore.io/skills/agentsecops-analysis-tshark?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-analysis-tshark/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

بطاقة قابلة للتضمين

<iframe src="https://skillstore.io/embed/skills/agentsecops-analysis-tshark.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

الاستشهادات الأكاديمية (APA · BibTeX · CFF)

اقتباس APA

AgentSecOps. (2026). analysis-tshark security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-analysis-tshark/audits/9

اقتباس BibTeX

@techreport{agentsecops-agentsecops-analysis-tshark-2026,
  author = {AgentSecOps},
  title = {analysis-tshark security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/agentsecops-analysis-tshark/audits/9},
  note = {Author version 0.1.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "analysis-tshark security audit report (audit version 9)"
version: "0.1.0"
type: report
authors:
  - name: "AgentSecOps"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/agentsecops-analysis-tshark/audits/9"
identifiers:
  - type: other
    value: "skillstore:agentsecops-analysis-tshark:audit:9"
    description: "Skillstore immutable audit report identifier"

تقييم Skillstore

سبب هذا التقييم موثوقية الأدلة: متوسط

الهندسة المعمارية

100

قابلية الصيانة

المحتوى

المجتمع

الامتثال للمواصفات

ما الذي يمكنك بناؤه

التحقيق في حادث نشط

التقط نوافذ قصيرة ومحددة النطاق من حركة المرور واستخرج المؤشرات للفرز والاحتواء.

مراجعة التقاط حزم جنائي

صفّ ملف pcap بحسب البروتوكولات وبيانات الاعتماد والحمولات والجداول الزمنية أثناء تحليل ما بعد الحادث.

التحقق من ضوابط الشبكة

تحقق مما إذا كانت ضوابط التشفير والتقسيم والمراقبة تكشف حركة مرور حساسة.

جرّب هذه الموجّهات

فحص ملف التقاط

استخدم analysis-tshark لفحص ملف pcap هذا. لخّص البروتوكولات، وأهم المحادثات، وأسماء DNS، ومضيفي HTTP، وأي بيانات حساسة واضحة.

إنشاء أوامر التقاط آمنة

أنشئ خطة التقاط TShark قصيرة لنافذة حادث مصرح بها. تضمّن المرشحات والمدة وتسمية المخرجات وخطوات التعامل مع البيانات.

استخراج مؤشرات الحوادث

حلّل هذا الالتقاط بحثا عن الاتصالات الدورية وDNS المشبوه وتنزيلات الملفات التنفيذية وحركة POST غير المعتادة ومؤشرات IOC المرشحة. اشرح كل مرشح.

إعداد نتائج جنائية

صمّم سير عمل TShark قابلا للتكرار لتحليل سلسلة الحيازة. تضمّن استخراج الآثار والتنقيح والتحقق وتقريرا موجزا بالنتائج.

أفضل الممارسات

أكد التفويض المكتوب والنطاق ومتطلبات الاحتفاظ والخصوصية قبل أي التقاط مباشر للحزم.
ابدأ بتحليل pcap دون اتصال عندما يكون ذلك ممكنا، وقيّد الالتقاطات المباشرة بحسب المرشح والمدة وحجم الحزمة.
شفّر ملفات الالتقاط، وقيّد الوصول، ونقّح الحقول الحساسة، ووثّق سلسلة الحيازة.

تجنب

التقاط حركة مرور إنتاجية واسعة دون نطاق حادث محدد أو خطة احتفاظ.
تخزين بيانات الاعتماد المستخرجة أو مفاتيح TLS أو حمولات الحزم في مواقع مشتركة أو غير مشفرة.
تشغيل أوامر التقاط ذات صلاحيات مرتفعة من مطالبات غير مراجعة أو على شبكات لا تديرها.

الأسئلة المتكررة

هل تتطلب هذه المهارة تثبيت TShark؟

نعم. تشرح المهارة سير عمل TShark وتفترض أن البيئة المحلية تتوفر فيها أدوات TShark أو Wireshark.

هل يمكنها تحليل ملفات الالتقاط الموجودة؟

نعم. تستخدم العديد من سير العمل ملفات pcap دون اتصال ولا تتطلب التقاطا مباشرا للحزم.

هل يمكنها التقاط حركة مرور الشبكة مباشرة؟

نعم، ولكن فقط بتفويض صريح وضوابط تعامل مناسبة. يمكن أن يكشف الالتقاط المباشر بيانات خاصة.

هل تفك تشفير حركة مرور TLS تلقائيا؟

لا. يتطلب فك تشفير TLS مواد مفاتيح معتمدة وجلسات متوافقة وحماية دقيقة لأي ملفات مفاتيح.

هل هذه المهارة مناسبة للعمل الهجومي؟

هي ذات استخدام مزدوج. ينبغي لمستخدمي Marketplace تطبيقها فقط في عمليات الأمن المصرح بها والتحليل الجنائي وأعمال الامتثال.

هل يمكن لـ Claude أو Codex أو Claude Code استخدام هذه المهارة؟

نعم. يسرد التقرير دعما لسير عمل Claude وCodex وClaude Code.

تفاصيل المطور

المؤلف

AgentSecOps

الترخيص

MIT

إصدار المؤلف

v0.1.0

مراجعة Skillstore

المستودع

https://github.com/AgentSecOps/SecOpsAgentKit/tree/main/skills/offsec/analysis-tshark

مرجع

9e952417e76879bc9d853e1b8b2cd6d6d8d4a1c2

حداثة الصيانة

٢٦‏/٧‏/٢٠٢٦

الاستخدام

8 تنزيلات · 331 مشاهدات

بنية الملفات

📁 assets/

📄 .gitkeep

📄 ci-config-template.yml

📄 rule-template.yaml

📁 references/

📄 EXAMPLE.md

📄 WORKFLOW_CHECKLIST.md

📄 SKILL.md

analysis-tshark

التثبيت باستخدام Agent لدي

موارد مهيّأة لـ Agents

اختبرها

التدقيق الأمني

مخاوف أمنية مؤكدة (5)

عوامل الخطر

الأنماط المكتشفة

نسخ رابط التقرير

شارة Markdown

شارة HTML

بطاقة قابلة للتضمين

اقتباس APA

اقتباس BibTeX

CITATION.cff

تقييم Skillstore

ما الذي يمكنك بناؤه

التحقيق في حادث نشط

مراجعة التقاط حزم جنائي

التحقق من ضوابط الشبكة

جرّب هذه الموجّهات

أفضل الممارسات

تجنب

الأسئلة المتكررة

تفاصيل المطور

المزيد من AgentSecOps

pytm

container-hadolint

dast-nuclei

sast-semgrep

sca-trivy

dast-zap

security-engineering

malware-analyst

incident-runbook-templates

incident-response-incident-response

incident-responder

debugging

analysis-tshark

التثبيت باستخدام Agent لدي

موارد مهيّأة لـ Agents

اختبرها

التدقيق الأمني

مخاوف أمنية مؤكدة (5)

عوامل الخطر

الأنماط المكتشفة

نسخ رابط التقرير

شارة Markdown

شارة HTML

بطاقة قابلة للتضمين

اقتباس APA

اقتباس BibTeX

CITATION.cff

تقييم Skillstore

ما الذي يمكنك بناؤه

التحقيق في حادث نشط

مراجعة التقاط حزم جنائي

التحقق من ضوابط الشبكة

جرّب هذه الموجّهات

أفضل الممارسات

تجنب

الأسئلة المتكررة

تفاصيل المطور

المزيد من AgentSecOps

pytm

container-hadolint

dast-nuclei

sast-semgrep

sca-trivy

dast-zap

مهارات ذات صلة

security-engineering

malware-analyst

incident-runbook-templates

incident-response-incident-response

incident-responder

debugging