Сетевые записи

Запись пакетов — это записанный трафик. На странице Карта сети > Файл пакетов или в разделе Скан на телефоне загрузите .pcap, .pcapng или .cap (до 512 МБ) либо выгрузку потоков в CSV или JSON. Ничего из записи не запускается и не извлекается.

Вердикт

Те же слова, что и для файла: Опасно, Подозрительно, Низкий риск или Угроз не найдено, с одним предложением о том, на чём основан вердикт, и с каждой находкой целиком. Запись опасна, когда в ней видна атака: сканирование, перемещение по сети или связь с известным вредоносным адресом. Хранить сам файл безопасно.

Что ищется

По тому, кто с кем, сколько и насколько регулярно обменивался:

• Сканирование портов: один хост перебирает много портов одной цели или один порт на многих внутренних хостах.
• Перемещение по сети: один хост подключается к нескольким внутренним хостам на портах администрирования (SSH, SMB, RDP, WinRM, RPC).
• Регулярные обращения: хост обращается к одному серверу через равные промежутки. Так же делают программы обновления и агенты мониторинга, и находка это говорит. Широковещательные и групповые адреса (обнаружение в локальной сети) не учитываются.
• Большая отправка в один адрес и трафик на портах, которые часто использует вредонос.

Изнутри пакетов, подсчитывается при чтении записи (содержимое не хранится):

• Несуществующие домены: сотни ответов «такого домена нет» для разных имён — так вредонос, генерирующий доменные имена (DGA), ищет свой сервер. Обратные запросы и локальные имена не учитываются.
• Отчёты серверу: сто и более POST-запросов к одному веб-серверу. Проверки сертификатов (OCSP) не учитываются.
• Отклонённые подключения: серверы в интернете раз за разом отказывают.
• Много узлов на необычных портах: так делают peer-to-peer ботнеты. Так же делают торрент-клиенты, поэтому это самое большее «подозрительно».
• Сгенерированные имена хостов: веб-запросы ко многим именам хостов смешанного регистра, которых браузер никогда не отправляет.

Находки попадают в очередь оповещений; заметки, которые ничего не добавляют к вердикту, — нет.

Измерено

На 14 записях обычного трафика (Stratosphere CTU-Normal: браузер, чат, день пользователя, только DNS; 2,7 млн пакетов) и 28 записях ботнетов (Stratosphere CTU-Malware), 8 ноября 2026: ни одна обычная запись не отмечена, отмечена 21 запись ботнетов из 28. Семь пропущенных прятали трафик в HTTPS или были слишком короткими, чтобы показать закономерность.

Ограничения

Анализируется первый миллион пакетов записи, первые 250 000 сохраняются как потоки; если предел достигнут, результат об этом говорит. Зашифрованный трафик читается только по форме. Записи в формате, который читает только tshark (802.11 Wi-Fi), получают обнаружения по форме трафика, но не по содержимому пакетов.