你的捕获文件。
在你的 Mac 上分析。
pcapLume 是 macOS 上的本地 PCAP 取证引擎——数据包诊断、Layer-2 硬件厂商映射，以及从未加密的 HTTP 下载中雕取文件。你的捕获文件绝不会被上传。
三件仪器。
一份校验记录。
分析基于本地数据库与编译规则运行——即使拔掉网线也能继续工作。只有外部查询需要联网。
离线数据包取证重组
雕取并重组捕获文件中经未加密 HTTP 下载的文件，包括 JPEG、PDF、ZIP、EXE 和 HTML 页面。使用 Pro，可在导出前于应用内预览图像和 PDF。
OUI 硬件与 IoT 指纹识别
借助 IEEE OUI 列表将 Layer-2 MAC 地址映射到硬件厂商。该列表只需在设置中下载一次（下载时 Zero Telemetry 须为关闭状态），此后查询都在你的 Mac 上运行，不再访问网络。数据包检查器会显示每个数据包的源 MAC 地址和目标 MAC 地址所登记的厂商。
内置载荷签名扫描器
在分析捕获文件的同时，用五条内置签名以及时序和熵启发式规则检查解码后的载荷。在你打开第一帧之前，它就会标记三类情况：对名为 payload 或 payload.bin 的文件的请求（即应用的 Metasploit 签名）、周期性 C2 信标，以及高熵载荷。
为敌意流量打造的玻璃拟态工作台。
pcapLume 27.0 分析一份示例证据捕获文件时的真实界面。
单次会话的数字。
为证据保管链而生。
从载入校验和到导出的档案，全程留有记录。
⬡证据文件完整性档案
在解码第一帧之前，计算捕获文件的 SHA-256，并同时计算 MD5 和 SHA-1 以便跨工具比对，三者都会写入校验记录（Pro）。
∿行为时序异常引擎
检测机械式 C2 信标特征——连续 15 个以上数据包的时序方差低于 5%——并同时发现载荷流中的香农熵异常。
⧉应用内媒体与载荷预览器
为恢复的图像、代码片段与多页 PDF 提供集成预览——一律在沙箱化视图中渲染，绝不调用外部应用。
⎙Pro PDF 报告
生成多页取证档案、捕获文件校验记录，以及哈希链式的证据保管链日志。
◐系统、浅色或深色外观
每个仪表盘、图表和卡片都会跟随你选择的系统、浅色或深色外观。
你的证据，与我们无关。
在“设置 ▸ 安全矩阵”中打开 Zero Telemetry，pcapLume 就会阻断它自己发起的所有对外查询，改为只使用本地数据库。无论哪种模式，载荷数据都绝不会传输。试试这个开关。
Zero Telemetry 开关默认关闭。关闭时，有两项查询无需点击就会运行：使用 Pro 时，GeoJS 会收到 Top Talkers 中的公网地址；如果你保存了自己的 abuse.ch 密钥，MalwareBazaar 会收到从捕获文件中雕取的文件的 SHA-256（abuse.ch 可以把每个哈希值与该账户关联起来）。其余四项服务只在你要求时才会查询，此处未列出的 IEEE 厂商列表也是如此。打开开关后，这些查询全部停止。它们都不会收到捕获的载荷。无论开关打开还是关闭，应用都会连接 Apple 的 App Store 获取价格和许可。还有一条路径不受该开关控制：以链接形式显示的 IP 地址会在你的浏览器中打开 whois.domaintools.com，这会把该地址传给 DomainTools。
资助独立取证工程。
不查席位、不设用量表、不靠收割数据来补贴价格。
Genesis Partner License
献给慷慨的早期支持者的永久许可，助力我们的独立取证工程。
- 现在与未来的全部 Pro 能力，永久有效
- 在应用内和每份报告中，按名称和严重程度列出威胁情报源与签名的匹配结果
- 永不续订，适合无法采用订阅制的团队与机构
Pro（年度）
完整使用 pcapLume Pro——按年续订，随时取消。
- 完整的数据包与流列表、威胁详情和雕取的文件
- 校验记录 & 哈希链式证据保管日志 PDF
- 公网地址地理定位，以及使用你自己的密钥进行 Shodan 和 Censys 查询
- 订阅期内的全部更新
