📦

analysis-tshark

Name: analysis-tshark
Author: AgentSecOps

v0.1.0 Inhaltsrevision r2 Kritisch ⚙️ Externe Befehle🌐 Netzwerkzugriff📁 Dateisystemzugriff🔑 Umgebungsvariablen⚡ Enthält Skripte

Netzwerkverkehr mit TShark analysieren

Paketmitschnitte können Vorfälle, offengelegte Zugangsdaten und anomale Verkehrsmuster verbergen. Diese Skill-Anleitung unterstützt autorisierte TShark-Workflows für Erfassung, Filterung, Extraktion und Berichterstellung.

Unterstützt: Claude Codex Code(CC)

⚠️ 38 Schlecht

Diesen Skill nicht automatisch installieren.

Die maßgebliche Richtlinie verlangt vor jeder Installationsaktion eine Prüfung durch einen Bediener.

Mit meinem Agent installieren

Kopieren Sie diese Anfrage in Ihren Agent. Sie enthält die maßgebliche Skill-Seite und das Manifest.

Agent-Anfrage

Review the Skillstore skill "analysis-tshark" from https://skillstore.io/skills/agentsecops-analysis-tshark.md and its manifest at https://skillstore.io/api/skills/agentsecops-analysis-tshark/manifest. Verify the artifact. Do not auto-install. Inspect the skill and report your findings, then wait for an operator or manual installation decision.

Ihr Agent sollte weiterhin seinen Plan anzeigen und alle von der Sicherheitsrichtlinie verlangten Bestätigungen anfordern.

Agent-lesbare Ressourcen

Verwenden Sie diese Links, wenn ein KI-Agent, Crawler oder Skript sauberen Kontext benötigt, statt die vollständige Seite zu lesen.

Markdown-Detailseite GET /skills/agentsecops-analysis-tshark.md Signiertes manifest GET /api/skills/agentsecops-analysis-tshark/manifest Signiertes lockfile GET /api/skills/agentsecops-analysis-tshark/lockfile

Testen

„analysis-tshark“ wird verwendet. Eine pcap von einer Workstation mit vermuteter Kompromittierung.

Erwartetes Ergebnis:

Eine Protokollzusammenfassung, wichtigste Konversationen, DNS- und HTTP-Indikatoren, Hinweise zu verdächtigen Übertragungen und empfohlene nächste Triage-Schritte.

„analysis-tshark“ wird verwendet. Eine Anfrage, Datenverkehr während eines fünfminütigen Vorfallfensters zu erfassen.

Erwartetes Ergebnis:

Ein abgegrenzter Erfassungsplan mit Schnittstellenprüfungen, Erfassungsfiltern, Dauerbegrenzungen, Speicherkontrollen und Bereinigungshinweisen.

„analysis-tshark“ wird verwendet. Der Bedarf, Klartext-Zugangsdaten im Datenverkehr eines Legacy-Protokolls zu finden.

Erwartetes Ergebnis:

Ein kontrollierter Prüfplan, der Protokollfilter, Handhabungsregeln für Geheimnisse und Schwärzungsanforderungen für Berichte aufführt.

Sicherheitsaudit

Kritisch

v9 • 23.7.2026 Versionsbericht öffnen

Most static alerts are false positives caused by Markdown formatting, defensive examples, offline packet filters, and framework terminology. Confirmed risks include remote pipe-to-shell installation, mutable third-party token exposure, privileged packet capture, and TLS key handling. Credential extraction and packet-metadata email alerts add sensitive-data exposure.

Gescannte Dateien

2,168

Analysierte Zeilen

Prüfelemente

Falschmeldungen ignoriert

Bestätigte Sicherheitsbedenken (5)

Kritisch

assets/ci-config-template.yml:240

Pipe to shell pattern

curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash

The CI template downloads a script from a mutable upstream branch and pipes it directly to bash. A compromised repository or changed script would gain code execution in the CI runner.

Hoch

SKILL.md:608

Certificate/key files

tshark -r capture.pcap -o tls.keylog_file:sslkeys.log -Y "http"

The command consumes a TLS key-log file to decrypt captured traffic. Key-log files contain session secrets and require strict access, retention, and deletion controls.

Hoch

SKILL.md:611

Certificate/key files

tshark -r capture.pcap -o tls.keys_list:192.168.1.100,443,http,/path/to/server.key

The command directs TShark to read a server private-key file for traffic decryption. Private-key access is highly sensitive and can expose protected sessions if mishandled.

Hoch

SKILL.md:275-320 SKILL.md:473-487

Credential and Authentication Artifact Extraction

The guide instructs users to extract plaintext credentials, NTLM responses, HTTP POST bodies, and authentication data from captures. These dual-use workflows can expose reusable secrets and personal data if authorization or storage controls fail.

The cited sections explicitly provide commands for credential extraction and writing POST data or NTLM responses to local files.

Mittel

SKILL.md:550-555

Packet Metadata Disclosure Through Email Alerts

The monitoring example emails packet-derived source, destination, host, and DNS data to a configured mailbox. This can disclose monitored network metadata through an external mail path.

The script pipes each TShark alert line into the mail command, and the selected fields include internal addresses, HTTP hosts, and DNS names.

Elemente der Fähigkeitsprüfung (32)

Dies sind echte lokale Fähigkeiten, die für diese Fähigkeit erwartet werden können; daher müssen sie überprüft werden, werden jedoch nicht als bestätigtes bösartiges Verhalten gezählt.

Hoch

assets/ci-config-template.yml:240

Hardcoded URL

curl -s https://raw.githubusercontent.com/aquasecurity/tfsec/master/scripts/install_linux.sh | bash

This URL retrieves executable installation code from a mutable upstream branch. The network dependency directly supports the unsafe pipe-to-shell command on the same line.

Hoch

assets/ci-config-template.yml:164

Git platform tokens

GITHUB_TOKEN: ${{ secrets.GITHUB_TOKEN }}

The workflow exposes GITHUB_TOKEN to a third-party action referenced by a mutable version tag. Compromise of that action could disclose or misuse the job token within its granted permissions.

Hoch

SKILL.md:38

sudo privilege escalation

sudo tshark -i eth0

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:41

sudo privilege escalation

sudo tshark -i eth0 -c 100 -w capture.pcap

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:87

sudo privilege escalation

sudo tshark -D

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:90

sudo privilege escalation

sudo tshark -i eth0

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:91

sudo privilege escalation

sudo tshark -i wlan0

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:94

sudo privilege escalation

sudo tshark -i any

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:97

sudo privilege escalation

sudo tshark -i eth0 -i wlan0

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:113

sudo privilege escalation

sudo tshark -i eth0

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:116

sudo privilege escalation

sudo tshark -i eth0 -c 1000

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:119

sudo privilege escalation

sudo tshark -i eth0 -a duration:60

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:122

sudo privilege escalation

sudo tshark -i eth0 -w capture.pcap

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:125

sudo privilege escalation

sudo tshark -i eth0 -w capture.pcap -b filesize:100000 -b files:5

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:141

sudo privilege escalation

sudo tshark -i eth0 -f "tcp port 80"

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:144

sudo privilege escalation

sudo tshark -i eth0 -f "host 192.168.1.100"

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:147

sudo privilege escalation

sudo tshark -i eth0 -f "net 192.168.1.0/24"

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:150

sudo privilege escalation

sudo tshark -i eth0 -f "tcp port 80 or tcp port 443"

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:153

sudo privilege escalation

sudo tshark -i eth0 -f "not port 22"

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:156

sudo privilege escalation

sudo tshark -i eth0 -f "tcp[tcpflags] & tcp-syn != 0"

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:441

sudo privilege escalation

sudo tshark -i eth0 -w incident_$(date +%Y%m%d_%H%M%S).pcap -a duration:300

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:458

sudo privilege escalation

sudo tshark -i eth0 -w malware_traffic.pcap

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:477

sudo privilege escalation

sudo tshark -i eth0 -Y "(http.authorization or ftp or pop or imap) and not tls" -T fields -e ip.src

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:509

sudo privilege escalation

sudo tshark -i mon0 -w wireless_capture.pcap

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:550

sudo privilege escalation

sudo tshark -i $INTERFACE -Y "$ALERT_FILTER" -T fields -e frame.time -e ip.src -e ip.dst -e http.hos

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:565

sudo privilege escalation

sudo tshark -i eth0

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:568

sudo privilege escalation

sudo usermod -a -G wireshark $USER

This command uses sudo to persistently add the current user to the wireshark group. That expands packet-capture access beyond the current session and requires explicit administrator approval.

Hoch

SKILL.md:569

sudo privilege escalation

sudo setcap cap_net_raw,cap_net_admin+eip /usr/bin/tshark

This command uses sudo to grant TShark raw-network and network-administration capabilities. Those persistent capabilities permit sensitive packet capture without future sudo prompts.

Hoch

SKILL.md:582

sudo privilege escalation

sudo tshark -D

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:594

sudo privilege escalation

sudo tshark -i eth0 -f "not port 22" -w capture.pcap

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:597

sudo privilege escalation

sudo tshark -i eth0 -w capture.pcap -b filesize:100000 -b files:5

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Hoch

SKILL.md:600

sudo privilege escalation

sudo tshark -i eth0 -s 128 -w capture.pcap

This example runs TShark through sudo, granting privileged packet-capture access to network traffic. The authorization warnings reduce misuse but do not remove the privilege and privacy risk.

Risikofaktoren

⚙️ Externe Befehle (50)

🌐 Netzwerkzugriff (37)

📁 Dateisystemzugriff (2)

assets/ci-config-template.yml:323 assets/ci-config-template.yml:323

🔑 Umgebungsvariablen (23)

⚡ Enthält Skripte (2)

references/EXAMPLE.md:138 references/EXAMPLE.md:137

Erkannte Muster

Pipe to shell pattern

Geprüft von: codex Audit-Verlauf anzeigen →

Diesen Bericht teilen & zitieren

Teile den versionierten Bewertungsbericht, das neutrale Badge, die Einbettungskarte und Zitate. Skillstore berichtet Nachweise, ohne zu entscheiden, ob dieser Skill sicher ist.

Versionsbericht öffnen

Berichtslink kopieren

https://skillstore.io/skills/agentsecops-analysis-tshark/audits/9?utm_source=security_passport&utm_medium=share&utm_campaign=versioned_report

Markdown-Badge

[![Skillstore security assessment](https://skillstore.io/badges/skills/agentsecops-analysis-tshark/security.svg)](https://skillstore.io/skills/agentsecops-analysis-tshark?utm_source=security_passport_badge)

HTML-Badge

<a href="https://skillstore.io/skills/agentsecops-analysis-tshark?utm_source=security_passport_badge"><img src="https://skillstore.io/badges/skills/agentsecops-analysis-tshark/security.svg" alt="Skillstore security assessment" loading="lazy"></a>

Einbettungskarte

<iframe src="https://skillstore.io/embed/skills/agentsecops-analysis-tshark.html" title="Skillstore Security Assessment" sandbox="allow-popups allow-popups-to-escape-sandbox" loading="lazy" referrerpolicy="no-referrer" width="420" height="180"></iframe>

Wissenschaftliche Zitate (APA · BibTeX · CFF)

APA-Zitat

AgentSecOps. (2026). analysis-tshark security audit report (audit version 9) [Author version 0.1.0]. Skillstore. https://skillstore.io/skills/agentsecops-analysis-tshark/audits/9

BibTeX-Zitat

@techreport{agentsecops-agentsecops-analysis-tshark-2026,
  author = {AgentSecOps},
  title = {analysis-tshark security audit report (audit version 9)},
  institution = {Skillstore},
  year = {2026},
  number = {9},
  url = {https://skillstore.io/skills/agentsecops-analysis-tshark/audits/9},
  note = {Author version 0.1.0}
}

CITATION.cff

cff-version: 1.2.0
message: "If you use this Skill, cite its author and this versioned security audit report."
title: "analysis-tshark security audit report (audit version 9)"
version: "0.1.0"
type: report
authors:
  - name: "AgentSecOps"
date-released: "2026-07-23"
url: "https://skillstore.io/skills/agentsecops-analysis-tshark/audits/9"
identifiers:
  - type: other
    value: "skillstore:agentsecops-analysis-tshark:audit:9"
    description: "Skillstore immutable audit report identifier"

Skillstore-Score

Warum dieser Score Evidenzvertrauen: Mittel

Architektur

100

Wartbarkeit

Inhalt

Gemeinschaft

Spezifikationskonformität

Was Sie erstellen können

Einen aktiven Vorfall untersuchen

Kurze, klar abgegrenzte Zeitfenster des Datenverkehrs erfassen und Indikatoren für Triage und Eindämmung extrahieren.

Einen forensischen Paketmitschnitt prüfen

Eine pcap-Datei während der Nachanalyse eines Vorfalls nach Protokollen, Zugangsdaten, Payloads und Zeitachsen filtern.

Netzwerkkontrollen validieren

Prüfen, ob Verschlüsselungs-, Segmentierungs- und Überwachungskontrollen sensiblen Datenverkehr offenlegen.

Diese Prompts ausprobieren

Eine Erfassungsdatei untersuchen

Verwende analysis-tshark, um diese pcap zu untersuchen. Fasse Protokolle, wichtigste Konversationen, DNS-Namen, HTTP-Hosts und offensichtlich sensible Daten zusammen.

Sichere Erfassungsbefehle erstellen

Erstelle einen kurzen TShark-Erfassungsplan für ein autorisiertes Vorfallfenster. Berücksichtige Filter, Dauer, Benennung der Ausgabe und Schritte zur Datenhandhabung.

Vorfallindikatoren extrahieren

Analysiere diesen Mitschnitt auf Beaconing, verdächtige DNS-Aktivität, Downloads ausführbarer Dateien, ungewöhnlichen POST-Verkehr und mögliche IOCs. Erkläre jeden Filter.

Forensische Ergebnisse vorbereiten

Entwirf einen wiederholbaren TShark-Workflow für eine Analyse mit Beweismittelkette. Berücksichtige Artefaktextraktion, Schwärzung, Validierung und einen prägnanten Ergebnisbericht.

Bewährte Praktiken

Vor jeder Live-Paketerfassung schriftliche Autorisierung, Umfang, Aufbewahrung und Datenschutzanforderungen bestätigen.
Wenn möglich mit der Offline-Analyse von pcap-Dateien beginnen und Live-Erfassungen durch Filter, Dauer und Paketgröße begrenzen.
Erfassungsdateien verschlüsseln, Zugriff einschränken, sensible Felder schwärzen und die Beweismittelkette dokumentieren.

Vermeiden

Breiten Produktionsdatenverkehr ohne definierten Vorfallumfang oder Aufbewahrungsplan erfassen.
Extrahierte Zugangsdaten, TLS-Schlüssel oder Paket-Payloads an gemeinsam genutzten oder unverschlüsselten Orten speichern.
Privilegierte Erfassungsbefehle aus ungeprüften Prompts oder in Netzwerken ausführen, die Sie nicht administrieren.