Zeek 网络流量分析和安全监控框架-搭建教程

一、进入Zeek官网下载

https://github.com/zeek/zeek/wiki/Binary-Packages  选择下载Linux Binaries

Install package security:zeek / zeek-lts  选择添加软件源并手动安装，指的是复制命令行执行。

下面的命行永远安装最新的LTS版本的zeek，对应的系统版本是CenTOS7

cd /etc/yum.repos.d/
wget https://download.opensuse.org/repositories/security:zeek/CentOS_7/security:zeek.repo
yum install zeek
#，查看安装的版本
zeek --version

二、使用

使用前的修改。安装好了之后使用whereis zeek，会显示出安装之后的路径，我的安装路径是自动安装在/opt/zeek

1. 在 /opt/zeek/etc/node.cfg 文件中， 设置监测设备的正确接口interface。设置要监视的正确网卡，我的网卡是ens33

2. 在/opt/zeek/etc/networks.cfg 文件中，注释掉默认设置，然后添加监测环境的本地网络。

3. 在 /opt/zeek/etc/zeekctl.cfg 文件中，修改 MailTo 邮件地址成期望的收件人以及修改 LogRotationInterval 成期望的日志归档频率（这一条的修改是可选的）。

启动终端

zeekctl

初始化安装

[ZeekControl] > install

启动Zeek实例

[ZeekControl] > start

如果尝试启动Zeek实例时遇到了错误，你可以使用 diag 命令查看细节。如果启动成功，Zeek实例就会开始根据默认策略分析流量，然后输出结果到 $PREFIX/logs（即/opt/zeek/logs）文件夹中。

启动之后它就会一直运行下去，如果想停止Zeek实例，可以命令：

[ZeekControl] > stop

三、遇到的问题

原因是安装zeek的时候，并没有将bin目录放到环境中。解决方法就是将/opt/zeek/bin路径放在环境中

1.export PATH=$PATH:/opt/zeek/bin 

# 添加环境变量：在~/.bashrc文件中添加下面一行，如果是用户目录下的则 用户局限：仅对当前用户。如果是切换到root用户下面的则 用户局限：对所有用户。所以我选择的后者，便于普通用户使用。

2.source ~/.bashrc

# 生效

3.echo $PATH

# 打印环境变量中的路径，如果zeek地址在出现则添加成功

4.sudo chmod -R 777 /opt/zeek/

# 如果不是root用户，则zeek文件夹的操作权限需要给用户