Competição PCAP Protocol

Use esta habilidade apenas como uma especialização downstream, depois que $ctf-sandbox-orchestrator já estiver ativo e tiver estabelecido suposições de sandbox, propriedade do nó e prioridades de evidência. Se isso ainda não aconteceu, retorne primeiro para $ctf-sandbox-orchestrator.

Use esta habilidade quando a evidência decisiva estiver dentro da ordem dos pacotes, do enquadramento do protocolo ou da reconstrução de fluxo, em vez de um único IOC ou log de host.

Responda em Português do Brasil, a menos que o usuário solicite explicitamente o inglês.

Início Rápido

1. Estabeleça primeiro os limites da captura: hosts, período de tempo, interfaces, pacotes ausentes, retransmissões e contagem de fluxos.
2. Agrupe o tráfego em sessões antes de decodificar a semântica da carga útil.
3. Registre o enquadramento do protocolo, a sequência, o tempo e os artefatos transferidos juntos, em vez de pacotes isolados.
4. Correlacione a evidência de pacotes com o comportamento do host, malware ou aplicativo somente após a reconstrução da sessão.
5. Reproduza o menor fluxo decodificado ou artefato transferido que comprove o caminho do desafio.

Fluxo de Trabalho

1. Construa o Mapa da Sessão

• Identifique endpoints, protocolos, portas, handshakes TLS, consultas DNS, upgrades de websocket e fluxos de longa duração.
• Observe a cobertura de captura ausente, roteamento assimétrico, perda de pacotes ou problemas de remontagem antes de tirar conclusões.
• Separe canais de controle, transferências em massa, keepalives e ruído.

2. Decodifique a Fronteira do Protocolo

• Remonte fluxos TCP ou conversas UDP antes de interpretar os campos.
• Recupere enquadramento, ordem de mensagens, cabeçalhos personalizados, campos binários, limites de compressão, limites de criptografia e transferências de objetos.
• Mantenha a direção da carga útil, o tempo e o estado da sessão alinhados com cada mensagem decodificada.

3. Conecte Pacotes ao Comportamento

• Mostre qual sequência de pacotes corresponde a qual evento do host, ramificação de malware, fluxo de login, upload, etapa de exfiltração ou canal de comando.
• Distinga o reconhecimento do protocolo da recuperação de artefatos: nomear HTTP, DNS ou um C2 personalizado não é suficiente sem conteúdo decodificado ou efeito downstream comprovado.
• Se a tarefa se tornar principalmente um problema de linha do tempo do host após a decodificação, mude para a habilidade de linha do tempo forense mais precisa.

Leia esta Referência

• Carregue references/pcap-protocol.md para a lista de verificação de sessão, lista de verificação de decodificação e empacotamento de evidências.
• Se a parte difícil for um handshake WebSocket ou SSE, fluxo de assinatura, quadros em tempo real ou estado impulsionado por quadros, prefira $competition-websocket-runtime.
• Se a parte difícil for um handshake personalizado, enquadramento, checksum, dependência de sequência ou um harness de reprodução determinístico, prefira $competition-custom-protocol-replay.

O Que Preservar

• IDs de fluxo, pares de endpoints, intervalos de pacotes, timestamps, enquadramento de protocolo e limites de objetos
• Requisições decodificadas, respostas, comandos, arquivos transferidos e a sessão que os transportou
• A sequência exata de pacotes ou o fluxo reconstruído que comprova o comportamento do desafio