zeek(bro) 脚本学习 三

参考https://blog.csdn.net/roshy/article/details/88827716

zeek(bro)读取pcap包后，缺省状态输出数个log文件，主要分以下几个类别：

诊断日志：capture_loss.log、loaded_scripts.log、stats.log、packet_filter.log

会话日志：conn.log

告警信息：weird.log  协议错误、notice.log bro脚本产生的告警

协议解析日志：dns.log、files.log、http.log、sip.log、snmp.log、ssh.log、ssl.log、x509.log 等等

文件名                                作用

conn.log                      关于连接的日志

dpd.log                        非标准端口协议的日志

dns.log                        dns活动日志

ftp.log                          ftp会话活动日志

files.log                        HTTP FTP SMTP 文件日志

http.log                        http请求和响应日志

known_certs.log           SSL证书

smtp.log                      SMTP活动日志

ssl.log                          SSL会话，包括使用的证书

weird.log                     意料外的协议层活动日志

X509.log                      此日志文件提供了分析的信息证书x509。

intel.log                       此日志文件提供有关使用智能框架检测到的模式的信息。

https://www.freebuf.com/sectool/179757.html

将本地解析配置文件添加到BRO

以下我将通过一个示例来说明，本地Bro解析配置文件为bro_parse_jd.bro。

在/usr/local/bro/share/bro/site路径下创建一个名为harbian的目录，并将bro_parse_jd.bro文件放置在该目录中。然后在harbian目录中创建一个名为__load__.bro的文件，并在 __load__.bro文件中添加以下行：

@load ./bro_parse_jd.bro.

 __load__.bro文件仅用于在启动bro时自动加载当前目录中的bro配置文件。此外，我们还需要将以下行添加到文件/usr/local/bro/share/bro/site/local.bro中：

@load ./harbian

然后使用以下命令重启bro服务：

# systemctl restart bro