外带数据体量估算

回答"可能带走了多少"：按会话发送字节统计外联排名，剔除备份、更新等已知任务再取离群项。

用途	数据外带影响评估
口径	按目的聚合发送字节 / 限定时间窗 / 排除已知业务

排名

tshark -r exfil.pcap -q -z conv,tcp | awk 'NR>5' | sort -k3 -n | tail -15

估算写区间口径（时间段+方向+排除项），避免给出失真数字。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌