Zeek FlowMeter 使用与安装指南

Zeek FlowMeter 使用与安装指南

zeek-flowmeter A Zeek script to generate features based on timing, volume and metadata for traffic classification. 项目地址: https://gitcode.com/gh_mirrors/ze/zeek-flowmeter

项目目录结构及介绍

Zeek FlowMeter 是一个基于 Zeek 的脚本，用于从网络流量中提取基于时间、体积和元数据的特征，适用于不依赖深度包检查的流量分类模型开发。以下是该项目的基本目录结构及其简介：

.
├── LICENSE          # 许可证文件
├── README.md        # 项目说明文件，包含概述和快速入门指导
├── zkg              # Meta 包相关文件夹（可能是用于管理 Zeek 插件的工具相关）
└── scripts         # 核心脚本和模块存放目录
    ├── flowmeter     # 主要的 Zeek 脚本文件夹
        ├── flowmeter.zeek  # 主脚本，实现特征提取逻辑
        └── ...           # 可能还包含其他辅助脚本或配置

注: scripts 目录下包含了核心的 flowmeter.zeek 脚本，是实现功能的关键。

项目的启动文件介绍

在 Zeek FlowMeter 中，并没有一个直接的“启动文件”，而是通过 Zeek 引擎来加载和执行其脚本。启动 Zeek 并使用 FlowMeter 通常涉及以下命令行操作：

zeek flowmeter -r your.pcap

这里 flowmeter 实际上是指向项目中的 Zeek 脚本，而 -r your.pcap 参数用于指定分析的 PCAP 文件。

若要集成到本地 Zeek 配置中，需编辑 Zeek 的配置文件并加入对 FlowMeter 的加载指令，例如在 <zeekscriptdir>/site/local.zeek 文件中添加 @load flowmeter。

项目的配置文件介绍

FlowMeter 的配置主要是通过 Zeek 的重定义（redefine）机制来完成的，而不是一个独立的配置文件。这意味着用户可以在 Zeek 的配置文件中或者直接通过命令行参数调整 FlowMeter 的行为。例如：

• 在配置文件中更改参数：

  # 在任意 Zeek 配置文件（如 site.local.zeek）中添加以下行来改变默认设置
  redefine FlowMeter::bulk_min_length = 3;
  

• 或者通过命令行：

  zeek -C "redefine FlowMeter::bulk_min_length = 3;" flowmeter -r your.pcap
  

主要可配置参数包括 FlowMeter::bulk_min_length, FlowMeter::bulk_timeout, 等，它们控制了子流识别、传输块处理等关键行为的阈值。

小结

Zeek FlowMeter 的使用围绕着 Zeek 的运行环境进行，通过脚本和配置选项来控制其行为。了解这些基本元素是成功部署和利用 FlowMeter 特征提取能力的关键。确保遵循正确的路径安装和配置脚本，以及理解如何通过 Zeek 的机制自定义参数，对于优化流量分析至关重要。

zeek-flowmeter A Zeek script to generate features based on timing, volume and metadata for traffic classification. 项目地址: https://gitcode.com/gh_mirrors/ze/zeek-flowmeter