周期性外联（Beacon）识别

恶意程序常按固定间隔心跳：把同一目的地的连接间隔做统计，稳定的均值与低抖动是重要线索。

用途	发现自动化指挥通信
指标	连接间隔 / 抖动 / 持续时间 / 目的稳定性

间隔粗算

tshark -r sample.pcap -Y 'ip.dst==203.0.113.10' -T fields -e frame.time_epoch | awk 'NR>1{print $1-p} {p=$1}' | sort -n | head

抖动睡眠（jitter）会削弱固定间隔特征，看的是"稳定地非随机"。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌