zeek操作笔记

登入宿主机，查看centos 的docker镜像

sudo docker ps -a

sudo docker start ${CONTAINER ID}

sudo docker attach ${CONTAINER ID}

源码安装方式默认的安装路径（prefix=/usr/local/zeek/）

安装官方预编译的二进制包默认路径（/opt/zeek）

### 文件目录说明$PREFIX/ (e.g. /opt/zeek/ or /usr/local/zeek/) |_ bin/ |_ etc/ |_ include/ |_ lib/ |_ logs/ |_ share/ |_ spool/ ## bin1，zeek：命令行工具 2，zeek-cut：从 zeek 日志（非 JSON）中提取列，方便进行日志分析，还将 Unix 纪元时间转换为人类可读的格式。 3，zeekctl 主要用作 Zeek 集群管理工具，它是一个交互式 shell，可以轻松操作/管理 Zeek 安装。 ## etc1,networks.cfg: 在此处定义您的本地网络。Zeek 分析是网络感知的，建议使用此文件来定义您的本地网络，以便对网络流量进行有效和正确的分析 2,node.cfg 通过定义各种节点类型及其相应设置来配置独立节点或 Zeek 集群配置。它具有为用户使用的独立和集群配置定义的示例。 3,zeekctl.log ZeekControl 管理的配置文件。它包含默认日志目录、日志轮换时间间隔和电子邮件配置的设置。 ## logs日志目录 current：zeekctl控制运行时生成的日志 ## share包含 Zeek 附带的所有 Zeek 脚本的目录，这些脚本是高度可定制的，以支持您特定环境的流量分析。 1，zeek/base/ #它包含始终由 Zeek 加载的基本脚本（除非-b 提供了命令行选项） #这些文件不应直接编辑，否则升级的时候也需要手动修改。 #基本脚本处理收集有关网络活动的基本/有用状态或提供扩展 Zeek 功能而无需任何性能成本的框架/实用程序。 2，zeek/policy/ zeek 附带的其他策略脚本。目录下的脚本 policy/可能更具情境性或成本更高，因此用户必须明确选择是否要加载它们。默认情况下，Zeek 加载一些最有用的策略脚本，通过站点目录中的 local.zeek 文件启用。这些脚本同样不应被修改。 3，zeek/site/ 这是可以放置本地特定于站点的文件/脚本的目录，而不必担心以后会被破坏（使用 Zeek 升级）。ZeekControl 管理的 Zeek 实例的默认分析配置的主要入口点是脚本，可用于加载其他自定义或策略脚本。$PREFIX/share/zeek/site/local.zeek