开源流量分析工具 |
您所在的位置：网站首页 › 开源流量监控分析软件有哪些 › 开源流量分析工具 |
开源流量分析工具
|
Zeek是一个开源的、被动网络流量分析软件。它主要被用作安全监测设备来检查链路上的所有流量中是否有恶意活动的痕迹。但更普遍地，Zeek支持大量安全领域外的流量分析任务，包括性能测量和帮助排查问题。 zeek架构
安装依赖 1.Libpcap (http://www.tcpdump.org) 2.OpenSSL libraries (https://www.openssl.org) 3.BIND8 library 4.Libz 5.Bash (for ZeekControl) 6.Python 3.5 or greater (https://www.python.org/) 单机安装 本例安装环境：debian10.0.5 硬件配置：4C 8G 120G硬盘 root@Zeek:~# apt-get install cmake make gcc g++ flex bison libpcap-dev libssl-dev python3 python3-dev swig zlib1g-dev root@Zeek:~# apt-get install gnupg curl root@Zeek:~# apt install -y automake make g++ bison flex libelf-dev libssl-dev bc root@Zeek:~# apt-get install python3-git python3-semantic-version root@Zeek:~#git clone --recursive https://github.com/zeek/zeek root@Zeek:~# cd zeek root@Zeek:~#./configure root@Zeek:~#make root@Zeek:~#make install 增加zeek环境变量 [root@Zeek ~]# vim /etc/profile 在末尾增加 export PATH=/opt/zeek/bin:$PATH [root@Zeek ~]# source /etc/profile 初始化 [root@Zeek ~]# zeekctl [ZeekControl] > install 
[ZeekControl] > start 使用教程 zeek默认的日志存放目录为/opt/zeek/logs，当前的日志默认存放为current路径 默认产生的日志如下： [root@Zeek current]# tree ├── capture_loss.log ├── conn.log ├── dhcp.log ├── dns.log ├── dpd.log ├── files.log ├── http.log ├── notice.log ├── ntp.log ├── software.log ├── ssh.log ├── ssl.log ├── stats.log ├── stderr.log ├── stdout.log ├── weird.log └── x509.log conn.log 连接日志 dhcp.log DHCP日志 dns.log DNS日志 files.log 文件日志 http.log HTTP日志 ssl.log SSL日志 zeek既可以通过网络流的形式分析报文，也可以通过上传原始报文PCAP格式文件的形式进行分析 zeek的可以灵活的通过zeek脚本对网络中的异常行为或者特定的网络流量进行分析 1）通过zeek读取PCAP格式的原始报文进行行为分析 本例编写脚本，分析PCPA报文中的文件内容，zeek脚本内容如下:event connection_state_remove(c: connection) { print "connection_state_remove"; print c$uid; print c$id; for ( s in c$service ) print s; } event file_state_remove(f: fa_file) { print "file_state_remove"; print f$id; for ( cid in f$conns ) { print f$conns[cid]$uid; print cid; } print f$source; }
执行PCPA文件分析，如下： [root@Zeek ~]# zeek -r http.pcap file_analysis_01.zeek 
在不指定日志目录的情况下会在该目录下生成响应的日志，如下图：
Zeek脚本的编写 zeeek是单线程而不是多线程，大规模使用需要考虑集群化部署。 事件引擎(或者core)：把进入的数据包流简化为一系列高级的事件，这些事件以策略无关的形式反映了网络活动。 事件处理程序:使用zeek脚本语言编写，这些脚本能够表达安全策略，更普遍地，他们能够对输入流量得到任何想要的属性和统计数据。 zeek事件驱动脚本 zeek脚本事件(script events)：当开发一个zeek脚本时，脚本的功能被包装在各自的事件中。 例如： event zeek_init() { /*code*/ } event zeek_done() { /*code*/ } zeek_init event：当zeek第一次初始化时候就被激活 zeek_done event:在zeek关闭之前被激活 tcp_packet event:处理包含tcp_header的数据包时激活 udp_request event:在处理包含UDP请求头的数据时激活 udp_reply event：在处理包含UDP应答头的数据包时激活 zeek模块工作区(module workspace)：使用module关键字来为脚本分配一个namespace，那么就可以通过包含分配的module开访问来自其他脚本的代码，使用export关键字，用于导出在module工作区的block块中输入的代码 module zeekscript; export { /**/ /**/ } 使用模块来导出到吗可以在其他脚本之上构建更高级的脚本。 zeek日志流(log stream)在开发zeek脚本时，所有经过处理的输出将被发送到特定的日至流。这些日志流会包含响应的日志文件格式输出。 event connection_established(){ log::create_stream(LOG,format,path); log::write(Logsream,data) } connection_established event：当主机连接到接收器(receiver)时激活 Log::create_stream：创建具有名称、格式输出结构和路径的新日志流 Log::write：将包含的数据写入指定的日志流 使用脚本对日志分析(analysis) 使用zeek的事件驱动脚本语言，我们可以创建特定的基于事件的过滤器，以便在数据包中捕获和分析期间的应用。 nl命令用来展示zeek脚本 检测http代理的zeek脚本 http_proxy.zeek module HTTP; export { global success_status_codes: set[count] = { 200, 201, 202, 203, 204, 205, 206, 207, 208, 226, 304 }; } event http_reply(c: connection, version: string, code: count, reason: string) { if ( /^[hH][tT][tT][pP]:/ in c$http$uri && c$http$status_code in HTTP::success_status_codes ) print fmt("A local server is acting as an open proxy: %s", c$id$resp_h); }
|
【本文地址】
公司简介
联系我们
今日新闻 |
点击排行 |
|
推荐新闻 |
图片新闻 |
|
专题文章 |