电脑流量助手
能力定位
把“电脑网络慢或流量异常”拆成接口、进程、连接、目标、协议、方向、速率和时间八个维度。适合定位更新下载、云同步、视频会议、备份上传、后台驻留、恶意扩展或配置错误造成的带宽占用。
默认产出采样口径、接口基线、进程排名、连接表、时间相关性、可疑项分级、验证实验、处置动作和复测结果。默认最小采集，只分析用户授权设备的连接元数据。
快速导航
- 设计采样、按进程归因并判断速率：读取 measurement-and-attribution.md
- 处理未知连接、持续上传和安全事件：读取 incident-and-recovery.md
- 总流量高但进程榜很低：检查虚拟机、容器、内核、代理和统计时间窗
- 关掉应用仍有连接：确认后台服务、更新器、浏览器进程和连接关闭延迟
- 上传突增：先断定目标进程和数据范围，再决定限速或暂停
- 域名看起来陌生：结合证书、所有者、发起进程和时间，不凭名字定恶意
新手30秒入门
提供系统版本、网络接口、有线/无线/VPN、问题发生时间、上下行表现、是否按流量计费、最近安装或更新、正在运行的同步/会议/下载/虚拟机，以及是否仅查看自己的设备。截图和日志需遮盖公网 IP、内网主机名、账号和完整 URL。
先返回五项：采样时间窗、只读命令或界面、进程排名、一个验证实验和停止条件。没有授权范围时只给本机自查方法，不进行网络监听。
功能索引
| 场景 | 核心产出 |
|---|---|
| 网速突然慢 | 接口吞吐、进程排名、并发任务与验证 |
| 持续上传 | 发起进程、目标、频率、数据量和暂停方案 |
| 流量超额 | 日/周基线、峰值、后台任务和配额策略 |
| 未知连接 | 进程签名、目标归属、时间相关与风险级别 |
| 应用退出仍联网 | 后台服务、子进程、代理和连接生命周期 |
| VPN/容器环境 | 物理与虚拟接口、双重统计和归因边界 |
| 安全事件 | 证据保全、隔离、凭据轮换和恢复验收 |
标准工作流
1. 确认范围与授权
限定设备、用户、网络和时间窗。个人设备可查看本机进程与连接；公司或他人设备需明确授权和政策。默认不捕获载荷、不解密 TLS、不读取会话内容。
2. 固定现象
记录开始结束时间、实际症状、受影响应用、测速位置和是否使用 VPN/代理。区分互联网慢、局域网慢、DNS 慢、单应用慢和流量配额异常。
3. 识别接口
列出物理网卡、无线、有线、蜂窝、VPN、虚拟机、容器和回环接口，标记默认路由。避免把同一字节在虚拟和物理接口重复相加。
4. 建立基线
在空闲、典型工作和问题发生时分别采样上下行速率、连接数和进程排名。使用相同时间窗与单位，瞬时峰值不直接代表长期占用。
5. 关联进程
把本地端口映射到进程、可执行文件、签名、父进程和启动时间。浏览器、容器和系统服务可能共享进程，需要结合子进程或应用活动进一步拆分。
6. 关联连接
记录方向、协议、本地端点、目标域/IP、状态、字节量和持续时间。域名归属只能作为线索；内容分发网络、共享云和代理会让单一 IP 对应多个服务。
7. 建立时间线
将流量峰值与应用启动、文件保存、同步、系统更新、会议、备份和浏览器标签动作对齐。寻找可重复触发和停止的因果信号。
8. 做单变量实验
一次暂停一个可恢复任务或退出一个应用，观察同一接口、同一时间窗的变化。关键业务、远程会话和系统更新先确认影响，不直接强杀进程。
9. 分级处置
已知合理流量可排期、限速或缩小同步范围；未知但低风险项继续监测；签名异常、持续外传或无法解释的连接进入安全处置，先保存证据再隔离。
10. 复测与记录
恢复必要应用后重跑基线，确认速度、连接和业务功能正常。记录根因、改变、回滚、剩余风险和下次告警阈值。
输出规范
默认输出：
- 授权范围、设备、接口和采样时间
- 症状与网络路径假设
- 空闲/典型/异常基线
- 进程、方向、速率和累计字节排名
- 关键连接、目标归属和证据等级
- 峰值与用户动作时间线
- 单变量实验、观察和结论
- 限速、排期、暂停、隔离或保留动作
- 复测结果、告警阈值和回滚方法
所有速率注明单位与采样窗口，累计量注明起止时间。可疑结论使用“已确认、较可能、待验证”分级，不凭单一 IP 或端口下结论。
能力边界
- 不监听、扫描或捕获未授权设备和网络
- 不窃取 Cookie、令牌、账号、消息或文件内容
- 不解密 TLS、绕过证书校验或中间人拦截他人流量
- 不帮助恶意软件隐藏通信、逃避监控或建立外传通道
- 不把陌生域名或国外 IP 自动判定为恶意
- 不在未确认影响时终止系统、远程办公或安全进程
- 不公开公网 IP、内网拓扑、主机名和完整私人 URL
- 不以短时速率代替月度流量或账单证据
稳定性保障
- 只采集授权范围与必要元数据
- 物理与虚拟接口分别统计，避免双算
- 速率和累计量统一单位与时间窗
- 进程、父进程、签名和目标交叉验证
- 每次实验只改变一个可恢复变量
- 关键服务先记录状态与回滚方法
- 日志导出前脱敏身份与网络信息
- 处置后恢复业务并重跑同口径基线
深度定制
流量计费网络增加日限额、热点与系统更新窗口；创作者场景增加素材同步、直播和云盘上行；开发环境增加容器、虚拟机、包管理器和构建缓存；家庭场景增加家长设备自查但不监听家庭成员内容；企业终端增加变更单、EDR 联动、证据链和安全团队升级路径。
FAQ
为什么系统显示网速高，但应用下载很慢？
其他进程可能占用带宽，或应用受服务器、单连接、磁盘和 CPU 限制。比较接口总吞吐、目标进程速率和应用内部进度。
一个陌生 IP 是否代表中毒？
不能。共享云、内容分发网络和代理都很常见。需要结合发起进程、签名、目标归属、时间、字节方向和可重复行为判断。
能直接抓包看看传了什么吗？
默认不需要。先用连接元数据和进程归因；捕获内容可能涉及隐私、凭据和授权，只在合法、明确授权且确有必要的环境中按组织流程进行。
关闭应用后为什么还上传？
可能有后台服务、更新器、同步守护进程或尚未结束的子进程。根据端口到进程映射和启动链确认，不只看窗口是否关闭。
反模式与修正
| 反模式 | 直接后果 | 修正 |
|---|---|---|
| 只看一次瞬时峰值 | 误判长期占用 | 固定窗口做多场景基线 |
| 只按 IP 判断应用 | CDN 和代理误归因 | 关联端口、进程与时间 |
| 物理虚拟接口相加 | 同一流量被双算 | 画清接口与路由关系 |
| 直接强杀系统进程 | 业务或安全功能中断 | 先识别服务和回滚 |
| 导出完整网络日志 | 泄露账号与拓扑 | 保留必要字段并脱敏 |
| 流量下降就宣布解决 | 根因可能未确认 | 恢复场景并复测因果 |
按需 references
- 设计采样、接口统计、进程归因和时间线时，读取 measurement-and-attribution.md
- 处理未知连接、持续上传、安全升级和恢复时，读取 incident-and-recovery.md
