2.5 Bro脚本入门

最新推荐文章于 2019-10-31 08:12:32 发布
最新推荐文章于 2019-10-31 08:12:32 发布
阅读量980 收藏
点赞数
分类专栏： Bro 文章标签： Bro script
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/liyh_xd/article/details/79364600
版权
基于Bro 2.5.3 文档，按照原文结构整理，非原文翻译，建议阅读英文文档后阅读，如有错误请不吝指出。

时间修改内容
2018.02.24完成全文
  
  

一、理解Bro脚本语言

Bro主要提供两项能力：
  • 解析流量并生成event，整个过程不对使用者开放，也不对生成的event进行分析。
  • 分析event并产生输出，Bro自实现了一套脚本语言，并内置了常用功能，使用者可以根据需要实现分析脚本。注意，Bro脚本语言是基于event驱动的。

Bro脚本主要由三部分组成，导入和导出在parse-time执行，业务逻辑在run-time执行：
  • 导入：@load+相对路径，结尾无分号。Bro搜索路径+相对路径=导入文件绝对路径。相对路径为目录，则导入该路径下的__load__.bro文件，该文件多包含一组@load指令，类似python包的__init__.py文件；相对路径为文件，可忽略.bro后缀。导入将递归执行，重复导入将被忽略。
  • 导出：export{scope name: type = value;}，export代码块结束无分号，声明及初始化语句后有。用于声明或重定义公用变量，可供当前和其他脚本使用。需要重定义的一般为常量，常量允许在parse-time重定义，run-time不允许修改，与变量不同。
  • 业务逻辑：event/hook/function等可执行代码块，实现业务功能。

二、了解event queue和event handler

关于event queue（事件队列）：
  • event queue是Bro底层（event生成器）和Bro脚本共用的有序队列（先进先出）。
  • event生成器根据解析的流量生成event推入event queue，相当于生产者。这部分功能没有Bro脚本参与，不对使用者开放，基本没有其他有效输出。
  • Bro脚本从event queue取出event并触发对应event handler完成既定处理，相当于消费者。

关于event handler（事件处理器）：
  • Bro脚本声明并初始化handler，handler被event触发后接收event携带的信息，并基于这些信息进行决策，也可能修改它们。
  • Bro在內建函数脚本和*.bif.bro脚本中使用event关键字声明event handler，涵盖全部內建event类型，event将触发对应名称的event handler。
  • handler包含用户对event的自定义处理，因此，哪些需要初始化、如何初始化一般由用户根据业务场景自定义。相同类型的handler可以被初始化多次并指定优先级，Bro将在parse-time合并handler，优先级高低与数值大小正相关，默认为0，接受负数。
  • Logging Framework可以配置生成自定义event，用户需要自行声明并初始化log_x event handler，以便完成处理。

三、了解connection record

  • record提供了一个key-value模式的数据类型框架，使用户可以通过type和record关键字自定义数据类型。文档中的record类型多泛指这类自定义数据类型，connection就是其中一种。
  • 一条connection数据对应一个连接，连接的生命周期内可能触发多个event handler，connection数据也在这个过程中被不断修改和完善。connection类型就是用于跟踪记录一个连接在其生命周期内的状态变化。

四、数据类型和数据结构

4.1 了解scope（作用域）：

  • Bro脚本有两种等价的参数声明方式：
    • SCOPE name: TYPE;
    • SCOPE name = EXPRESSION;
  • SCOPE支持三种关键字：global（全局变量）、const（全局常量）和local（局部变量）。
  • global一般定义在parse-time，作用于整个命名空间，只能在run-time修改。
  • const一般定义在parse-time，作用于整个命名空间，有&redef属性可以在parse-time修改。
  • local只能定义在run-time，作用于当前代码块，只能在run-time的当前代码块修改。注意：event和hook可能由多代码块组成。
  • 当前命名空间由当前文件+已导入且module name相同的其他文件组成，所有已导入且module name不同的文件的export区域将根据module name合并后成为当前命名空间的子空间，并通过module name引用。
  • Bro启动时将处理脚本中除可执行类型（event/hook/function)以外内容，称为parse-time；然后等待事件触发相应可执行类型，完成处理，即所谓的事件驱动，该阶段称为run-time。
  • 相同作用域内，global、const和local均不允许重名。

4.2 数据类型

4.2.1 基本数据类型—数字类型—int类型

int类型相关总结请参考下表：
int
简要说明：有符号整形
显式声明及初始化：scope name: int; name = return_int_expression;
scope name: int = return_int_expression;  # 相比隐式声明，可读性和可维护性更好
隐式声明及初始化：scope name = return_int_expression;
数据格式：略
算数运算：略
比较运算：略
逻辑运算：不可自动转换为bool类型，因此不可参与逻辑运算
添加成员：容器类型操作，不具备
删除成员：容器类型操作，不具备
成员数量：容器类型操作，不具备
成员是否存在：容器类型操作，不具备
索引成员：容器类型操作，不具备
分片：容器类型操作，不具备
遍历操作：容器类型操作，不具备
內建函数：略

4.2.2 基本数据类型—数字类型—count类型

count类型相关总结与int类型基本一致，请参考下表：
count
简要说明：无符号整形
显式声明及初始化：scope name: count; name = return_count_expression;
scope name: count = return_count_expression;  # 相比隐式声明，可读性和可维护性更好
隐式声明及初始化：scope name = return_count_expression;
数据格式：略
算数运算：略
比较运算：略
逻辑运算：不可自动转换为bool类型，因此不可参与逻辑运算
添加成员：容器类型操作，不具备
删除成员：容器类型操作，不具备
成员数量：容器类型操作，不具备
成员是否存在：容器类型操作，不具备
索引成员：容器类型操作，不具备
分片：容器类型操作，不具备
遍历操作：容器类型操作，不具备
內建函数：略

4.2.3 基本数据类型—数字类型—double类型

double类型相关总结与int类型基本一致，请参考下表：
double
简要说明：略
显式声明及初始化：scope name: double; name = return_double_expression;
scope name: double = return_double_expression;  # 相比隐式声明，可读性和可维护性更好
隐式声明及初始化：scope name = return_double_expression;
数据格式：略
算数运算：略
比较运算：略
逻辑运算：不可自动转换为bool类型，因此不可参与逻辑运算
添加成员：容器类型操作，不具备
删除成员：容器类型操作，不具备
成员数量：容器类型操作，不具备
成员是否存在：容器类型操作，不具备
索引成员：容器类型操作，不具备
分片：容器类型操作，不具备
遍历操作：容器类型操作，不具备
內建函数：略

4.2.4 基本数据类型—string类型

string类型相关总结请参考下表：
string
简要说明：字符串类型，与python字符串类型非常类似
支持负索引；具备容器部分特征
注意使用双引号描述字符串
显式声明及初始化：scope name: string; name = return_str_expression;
scope name: string = return_str_expression;  # 相比隐式声明，可读性和可维护性更好
隐式声明及初始化：scope name = return_str_expression;
数据格式："hello world"
算数运算：支持加法运算，用于字符串连接，其他不支持
比较运算：支持，判断相等时，注意 str1 == str2 和 my_pattern == str
逻辑运算：不可自动转换为bool类型，因此不可参与逻辑运算
添加成员：容器类型操作，不具备
删除成员：容器类型操作，不具备
成员数量：支持，使用||操作符
成员是否存在：支持，使用in或!in，注意 str1 in str2 和 my_pattern in str
索引成员：支持，使用从0开始递增的数字索引，支持负索引
分片：支持，使用[from : to]操作符，from和to为索引，支持负索引、索引越界、索引缺失
遍历操作：支持，使用for (...in...)
內建函数：略

4.2.5 基本数据类型—bool类型

bool类型相关总结请参考下表：
bool
简要说明：布尔类型，使用T表示真，使用F表示假
显式声明及初始化：scope name: bool; name = return_bool_expression;
scope name: bool = return_bool_expression;  # 相比隐式声明，可读性和可维护性更好
隐式声明及初始化：scope name = return_bool_expression;
数据格式：T或F
算数运算：不支持
比较运算：不支持
逻辑运算：支持，使用&&和||操作符
添加成员：容器类型操作，不具备
删除成员：容器类型操作，不具备
成员数量：容器类型操作，不具备
成员是否存在：容器类型操作，不具备
索引成员：容器类型操作，不具备
分片：容器类型操作，不具备
遍历操作：容器类型操作，不具备
內建函数：略

4.2.6 基本数据类型—网络数据类型—addr类型

addr类型相关总结请参考下表：
addr
简要说明：表示网络层地址，支持IPv4和IPv6，Bro自定义数据类型之一
显式声明及初始化：scope name: addr; name = return_addr_expression;
scope name: addr = return_addr_expression;  # 相比隐式声明，可读性和可维护性更好
隐式声明及初始化：scope name = return_addr_expression;
数据格式：IPv4：10.136.17.35
IPv6：
域名：www.baidu.com
# 域名将进行自动转换，因域名可能对应多个IP，转换为set[addr]
# Bro运行过程中，域名-IP映射关系不会更新，建议用于域名稳定的场景
# 因域名自动转换为set[addr]，使用显式声明会导致声明和初始化数据类型不一致的报错
算数运算：不支持
比较运算：支持
逻辑运算：不可自动转换为bool类型，因此不可参与逻辑运算
添加成员：容器类型操作，不具备
删除成员：容器类型操作，不具备
成员数量：容器类型操作，不具备
成员是否存在：容器类型操作，不具备
索引成员：容器类型操作，不具备
分片：容器类型操作，不具备
遍历操作：容器类型操作，不具备
內建函数：略

4.2.7 基本数据类型—网络数据类型—port类型

port类型相关总结请参考下表：
port
简要说明：表示传输层端口，支持UDP/TCP/ICMP/UNKNOWN协议，Bro自定义数据类型之一
显式声明及初始化：scope name: port; name = return_port_expression;
scope name: port = return_port_expression;  # 相比隐式声明，可读性和可维护性更好
隐式声明及初始化：scope name = return_port_expression;
数据格式：端口号/协议
UDP：514/udp
TCP：80/tcp
ICMP：/icmp，没有端口概念，Bro将ICMP类型和编码设置为来源和目的端口
UNKNOWN：/unknown
算数运算：不支持
比较运算：支持，默认unknown < tcp < udp < icmp
逻辑运算：不可自动转换为bool类型，因此不可参与逻辑运算
添加成员：容器类型操作，不具备
删除成员：容器类型操作，不具备
成员数量：容器类型操作，不具备
成员是否存在：容器类型操作，不具备
索引成员：容器类型操作，不具备
分片：容器类型操作，不具备
遍历操作：容器类型操作，不具备
內建函数：略

4.2.8 基本数据类型—网络数据类型—subnet类型

subnet类型相关总结请参考下表：
subnet
简要说明：表示子网，使用CIDR记法，支持容器类型部分特征，Bro自定义数据类型之一
显式声明及初始化：scope name: subnet; name = return_subnet_expression;
scope name: subnet = return_subnet_expression;  # 相比隐式声明，可读性和可维护性更好
隐式声明及初始化：scope name = return_subnet_expression;
数据格式：10.136.17.35/24
算数运算：不支持
比较运算：仅支持==和!=
逻辑运算：不可自动转换为bool类型，因此不可参与逻辑运算
添加成员：容器类型操作，不具备
删除成员：容器类型操作，不具备
成员数量：支持，使用||操作符
成员是否存在：支持，使用in或!in，用于判断IP是否属于该子网
索引成员：容器类型操作，不具备
分片：容器类型操作，不具备
遍历操作：容器类型操作，不具备
內建函数：略

4.2.9 基本数据类型—时间类型—time类型

time类型相关总结请参考下表：
time
简要说明：表示时间戳，Bro自定义数据类型之一
显式声明及初始化：scope name: time; name = return_time_expression;
scope name: time = return_time_expression;  # 相比隐式声明，可读性和可维护性更好
隐式声明及初始化：scope name = return_time_expression;
数据格式：无法直接初始化，需要借助current_time()或network_time()函数
算数运算：支持，注意time类型相减返回interval类型，注意time类型和interval类型的加减法
比较运算：支持
逻辑运算：不可自动转换为bool类型，因此不可参与逻辑运算
添加成员：容器类型操作，不具备
删除成员：容器类型操作，不具备
成员数量：容器类型操作，不具备
成员是否存在：容器类型操作，不具备
索引成员：容器类型操作，不具备
分片：容器类型操作，不具备
遍历操作：容器类型操作，不具备
內建函数：current_time()  # 返回操作系统当前时间
network_time()  # 返回最后一个已处理数据包内记录的时间，未曾处理数据包则返回当前时间
strftime("%Y-%m-%d %H:%M:%S", current_time())  # 将time转换为可读字符串，注意时区

4.2.10 基本数据类型—时间类型—interval类型

interval类型相关总结请参考下表：
interval
简要说明：表示相对时间，Bro自定义数据类型之一
显式声明及初始化：scope name: interval; name = return_interval_expression;
scope name: interval = return_interval_expression;  # 相比隐式声明，可读性和可维护性更好
隐式声明及初始化：scope name = return_interval_expression;
数据格式：数字+0或1个空格+单位
数字支持整数、浮点数、负数
单位支持：微秒（usec）、毫秒（msec）、秒（sec）、分（ min）、时（hr）和天（day）
单位单数复数均可，即：print 1hr == 1 hrs;  # return T
算数运算：支持，注意time类型相减返回interval类型，注意time类型和interval类型的加减法
比较运算：支持
逻辑运算：不可自动转换为bool类型，因此不可参与逻辑运算
添加成员：容器类型操作，不具备
删除成员：容器类型操作，不具备
成员数量：容器类型操作，不具备
成员是否存在：容器类型操作，不具备
索引成员：容器类型操作，不具备
分片：容器类型操作，不具备
遍历操作：容器类型操作，不具备
內建函数：略

4.2.11 基本数据类型—时间类型—pattern类型

pattern类型相关总结请参考下表：
pattern
简要说明：表示正则表达式，用于对文本快速检索，具备容器类型的部分特征，Bro自定义数据类型之一
显式声明及初始化：scope name: pattern; name = return_pattern_expression;
scope name: pattern = return_pattern_expression;  # 相比隐式声明，可读性和可维护性更好
隐式声明及初始化：scope name = return_pattern_expression;
数据格式：/regular expression/
算数运算：不支持
比较运算：仅支持文本完整匹配，使用==或!=操作符
逻辑运算：不可自动转换为bool类型，因此不可参与逻辑运算
添加成员：容器类型操作，不具备
删除成员：容器类型操作，不具备
成员数量：容器类型操作，不具备
成员是否存在：支持文本嵌入式匹配，使用in或!in，正则表达式必须位于左侧
索引成员：容器类型操作，不具备
分片：容器类型操作，不具备
遍历操作：容器类型操作，不具备
內建函数：split(str, my_pattern)  # 返回数字索引的table，索引由1开始，有序保存分割后的字符串

4.2.12 容器类型—set类型

set类型相关总结请参考下表：
set
简要说明：表示成员唯一的集合，类似于python中的set，但要求成员类型一致
显式声明及初始化：scope name: set[int]; name = set(1, 2, 3);
scope name: set[int] = set(1, 2, 3);  # 可读性和可维护性更好
隐式声明及初始化：scope name = set(1, 2, 3);
数据格式： 
算数运算：不支持
比较运算：不支持
逻辑运算：不可自动转换为bool类型，因此不可参与逻辑运算
添加成员：支持，使用add关键字：local s = set(1, 2); add s[3]; print s;  # return {1, 2, 3}
删除成员：支持，使用delete关键字，用法同add
成员数量：支持，使用||操作符
成员是否存在：支持，使用in或!in
索引成员：不支持
分片：不支持
遍历操作：支持，使用for (...in...)
內建函数：略

4.2.13 容器类型—table类型

table类型相关总结请参考下表：
table
简要说明：表示key-value间的映射，key唯一，类似python的dict，但key类型一致且value类型一致
显式声明及初始化：scope name: table[string] of string; name = table(["a"]="b", ["c"]="b");
scope name: table[string] of string =table(["a"]="b", ["c"]="b");  # 可读性和可维护性更好
隐式声明及初始化：scope name = table(["a"]="b", ["c"]="b");
数据格式：支持多个基本数据类型组合作为key，如：local t: table[int, string] of int = table([1, "2"]=3);
后续初始化和赋值时需要注意key需要遵循声明时的格式
算数运算：不支持
比较运算：不支持
逻辑运算：不可自动转换为bool类型，因此不可参与逻辑运算
添加成员：支持，使用赋值语句即可
删除成员：支持，使用delete关键字，用法同set
成员数量：支持，使用||操作符
成员是否存在：支持，使用in或!in，注意，仅针对key进行检测，如：
local t = table([1, "2"] = 3); print [1, "2"] in t;  # return T
索引成员：支持
分片：不支持
遍历操作：支持，使用for (...in...)，注意，仅针对key进行遍历，对组合key的遍历只能整体遍历，如：
for ([i, j] in table([1, "2"] = 3)) {
    print i;
}
# return 1
內建函数：略

4.2.14 容器类型—vector类型

vector类型相关总结请参考下表：
vector
简要说明：表示有序数组，类似python的list，但要求成员类型一致
显式声明及初始化：scope name: vector of int; name = vector(1, 1, 2);
scope name: vector of int = vector(1, 1, 2);  # 可读性和可维护性更好
隐式声明及初始化：scope name =  vector(1, 1, 2);
数据格式：索引由0开始递增，连续不间断
算数运算：不支持
比较运算：不支持
逻辑运算：不可自动转换为bool类型，因此不可参与逻辑运算
添加成员：支持，使用赋值语句即可，注意索引连续
删除成员：不支持
成员数量：支持，使用||操作符
成员是否存在：支持，使用in或!in，注意，仅针对索引进行检测
索引成员：支持
分片：不支持
遍历操作：支持，使用for (...in...)，注意，仅针对索引进行遍历
內建函数：略

4.2.15 自定义类型—type和record关键字

type关键字可以用于定义数据类型别名，提高代码可读性和可维护性，如：
type string_array: table[count] of string;
type和record关键字结合使用可以用于自定义数据类型，相关总结请参考下表：
自定义数据类型
简要说明：使用type和record关键字自定义数据类型，类似于C语言的结构体
可以任意定义数据类型中每个成员key和value的数据类型，但使用时必须按定义初始化或赋值
类型自定义type Service: record {
    name: string;
    ports: set[port];
};
自定义数据类型时允许嵌套包含其他自定义的数据类型
类型定义需在Bro解析阶段完成，即类型定义必须位于可执行代码（event/hook/function)外部
显式声明及初始化：scope name: Service; name = Service($name="dns", $ports=set(53/tcp, 53/udp));
scope name: Service = Service($name="dns", $ports=set(53/tcp, 53/udp));
后者可读性和可维护性更好
初始化时在key前添加$符号
隐式声明及初始化：scope name = Service($name="dns", $ports=set(53/tcp, 53/udp));
数据格式：略
算数运算：不支持
比较运算：不支持
逻辑运算：不可自动转换为bool类型，因此不可参与逻辑运算
添加成员：容器类型操作，不具备
删除成员：容器类型操作，不具备
成员数量：支持，使用||操作符
成员是否存在：容器类型操作，不具备
索引成员：访问自定义类型数据的成员使用$符号
分片：容器类型操作，不具备
遍历操作：容器类型操作，不具备
內建函数：略

五、如何自定义日志

  • 日志生成主要涉及Log Stream、Filter和Writer三部分，具体含义如下：
    • Log Stream：定义字段种类、字段类型、日志类型、日志名等日志处理过程中的基本规则，以便用户根据这些要求提供源数据。
    • Filter：对源进行过滤、修改、重定向等处理，默认Filter不进行任何处理。
    • Writer：决定日志输出方式和格式，默认writer将日志输出为tab分隔的文本文件，也支持ES等输出方式。
  • 使用Logging Framework的步骤如下：
    • Bro解析阶段：注册Log Stream ID、自定义数据类型Info描述日志内容
    • Bro运行初始化阶段：创建Log Stream、修改Log Stream的Filter
    • Bro运行阶段：写入Log Steam。
  • Logging Framework可以配置生成自定义的event，用户需要自行声明并初始化log_x event handler，并在其t中进行后置处理，避免了解析文本日志再分析的冗余操作，提高分析实时性。

六、如何触发通知

使用Notice Framework的步骤如下：
  • Bro解析阶段：注册Notice Type。
  • Bro运行阶段：根据Notice::Info生成notice数据，通过NOTICE函数传入Notice Framework。
  • Notice Framework：通过hook修改notice数据并触发相应通知行为（可以在Bro解析阶段定义Notice Policy shortcut简化该步骤）。
liyh_xd
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
Bro脚本语法5-指令（Directives）
mhpmii的专栏
10-26 1608
Bro脚本语法5-指令（Directives）@(教程)[Bro]Bro 脚本语言指令的概念有点类似于C语言中的宏，他会在脚本执行之前对脚本进行处理，比如哪些脚本会被加载，脚本中的哪几行会被执行等等，哪些指令展开后得到特定的字符串等等@DEBUG TODO@DIR 当前脚本的路径 Example:print "Directory:", @DIR;@FILENAME 文件名或当前的脚本Examp
Bro脚本语法4-声明和语句（Declarations and Statements）
mhpmii的专栏
10-26 2686
Bro脚本语法4-声明和语句（Declarations and Statements）@(教程)[Bro]Declarations Name Description module 改变当前模块 export 从当前模块导出定义 global 声明一个全局变量 const 声明一个全局常量 type 声明一个一用户自定义类型 redef 重新定义一
bro-scripts:我写的 Bro 脚本集
06-01
兄弟脚本 这个存储库包含我编写的脚本。 syslog-outbound.bro脚本的示例输出： $ zcat 2013- * /notice * | grep Outbound | head -1 1377595970.788206 YI9hmdEIE46 31.2.42.8 10269 63.43.24.59 514 - - - udp SYSLOG::Detected_Outbound_Message Syslog message destined to non-local networks - 31.2.42.8 63.43.24.59 514 ipmi.bro脚本的示例输出： $ zcat 2013-09- * /notice * | grep IPMI | hea
bro脚本实例讲解
Leeboy_Wang的专栏
01-25 2676
1、过滤出数据包中的文件global mime_to_ext: table[string] of string = { ["application/x-dosexec"] = "exe", ["text/plain"] = "txt", ["image/jpeg"] = "jpg", ["image/png"] = "png", ["text/html"] = "html", }; e
使用bro脚本记录网络中的ftp流量
Kagamigawa Noelle
12-12 1156
最近才注意到bro更名为zeek了，官网上有说明，貌似是因为bro有不太好的含义。 bro官网上提供了一个探测ftp暴力破解进行登录的例子。该例子中把所有突破阈值的可疑主机记录了下来（这些主机多次尝试登录某个ftp服务器，很不幸，它们登录失败了很多次，被改脚本记录为可疑的主机并通过NOTICE框架写到了notice.log中）。 下面是我尝试用bro写的一个简单的例子，有对logging，su...
bro_scripts:我的一些 BRO IDS 兄弟脚本
07-06
这个“bro_scripts: 我的一些 BRO IDS 兄弟脚本”是一个集合，包含了作者编写的自定义脚本，用于扩展BRO的功能，以更好地适应特定的监控需求。 BRO IDS，现名为Zeek，是一个开源项目，最初由美国Lawrence Livermore...
bro_scripts:我收集的兄弟脚本
07-12
【Bro Scripts: 我收集的兄弟脚本】 Bro（现称为Zeek）是一种网络分析框架，主要用于网络安全监控和日志记录。它是一个开源项目，由Brosoft开发，并且在全球范围内被广泛使用。Bro的独特之处在于它能以低级别的网络...
Bro-BitTorrent:通过 uTP 检测 BitTorrent 的 Bro 脚本
06-15
Bro-BitTorrent 用于识别 BitTorrent 连接的 Bro 脚本。 签名文件扫描所有 udp 或 tcp 连接以查找字符串“BitTorrent Protocol” 如果在 tcp 连接中观察到 BitTorrent 协议，则服务标签设置为“位”。 如果在 udp ...
自定义bro http日志
04-29
1，Bro采用编译安装，目前测试过Bro2.4和Bro2.5 2，安装自定义脚本 # mv http-custom /usr/local/bro/share/bro/base/protocols 3，修改配置文件 echo '@load base/protocols/...
zeek(bro) 脚本学习 一
lepton126的专栏
10-18 2336
https://www.zeek.org/官网 https://docs.zeek.org/en/stable/script-reference/log-files.html log文件字段名详解 安全套接字SSL或者是安全传输协议TLS是当今网络使用的重要加密协议，ZEEK(BRO)是一款经典网络安全分析架构，是分析加密数据有力工具，和大多数编程语言一样,ZEEK...
BRO源码概要图(mindmanager打开)
12-30
将BRO启动过程做了一个简要的介绍，希望对您有所帮助，需要mindmanager5.2以上版本打开
zeek(bro) 脚本学习 二
lepton126的专栏
10-31 905
load 语句,缺省路径 : <prefix>/share/bro <prefix>/share/bro/policy <prefix>/share/bro/site 在bro version 2.6.3 版本中，缺省路径为 <prefix>/share/bro/policy [root@clusternode zeekbro-code]#...
Bro脚本语法3-属性（Attributes）
mhpmii的专栏
10-26 1314
Bro脚本语法3-属性（Attributes）@(教程)[Bro]Bro 脚本语言支持下面这些属性 名称 描述 &redef 重新定义一个全局的常量或者扩展一种类型. &priority 指示event 或者hook的优先级. &log 标记record中的字段写入日志. &optional 允许字段为空 &default 指定默认参数. &add_
(转载)Bro：一个开放源码的高级NIDS系统
Kendiv's Box
09-12 3580
Bro：一个开放源码的高级NIDS系统创建时间：2003-10-12文章属性：原创文章提交：stardust (stardust_at_xfocus.org)在介绍Bro之前先总结一下几个常见的开放源码NIDS系统：Snort ( http://www.snort.org/ )目前最著名最活跃的开放源码NIDS项目，定位于轻量级的入侵检测系统，已经实现了网络探测器和许多第三方的管理及日志分析工具，
Bro脚本语法2-数据类型
mhpmii的专栏
10-26 2342
Bro脚本语法2-数据类型@(教程)[Bro]Bro脚本语法2-数据类型 bool int count double time interval string pattern port addr subnet enum table set vector reocrd function event hook file opaque any void 内建类型 Name Description
Bro语法
maintain 的博客
05-24 1434
Bro支持本地和全局两种变量，本地变量的声名使用local语句，全局变量的声明用global。本地变量只可以在函数或者事件的作用域内部来进行声明，全局变量必须要在事件或者函数的外部进行声明。不可以在function,hook,event这些处理函数中使用，这一点个不同于我们常用的C语言，这样的语法设计，可以使数据和处理流程清晰的分隔开。下面列出了一些在Bro中我们常用的数据类型。 数据类型：
Bro 快速入门
mhpmii的专栏
10-26 9049
Bro 快速入门@(教程)[Bro]写在前面 Bro 通过源码安装之后默认安装路径是 /usr/local/bro 通过源码安装可以通过make doc 命令生成完整的文档 1. 需要python 2.5 以上版本 2. 需要安装 Sphinx (sudo easy_install Sphinx ) 3. 需要安装 Doxygen（sud apt
Bro脚本语法6-日志文件（Log Files）
mhpmii的专栏
10-26 2394
Bro脚本语法6-日志文件（Log Files）@(教程)[Bro]Network Protocols Log File Description Field Descriptions conn.log TCP/UDP/ICMP connections Conn::Info dhcp.log DHCP leases DHCP::Info dnp3.log DN
bro研究学习
Leeboy_Wang的专栏
01-25 3457
脚本学习： bro的默认脚本/usr/local/bro/share/bro每次更新版本都会被重新覆盖，除了/usr/local/bro/share/bro/site这个文件可以自定义修改，不会被覆盖 其中核心为base和policy /usr/local/bro/share/bro/base处理收集网络活动基本的有用的状态或提供框架程序扩展功能脚本，程序会自动加载他，带来的代价不高 po
windows安装bro
最新发布
09-14
要在Windows上安装Bro，可以按照以下步骤进行操作： 1. 首先，访问Bro的官方网站（https://www.bro.org/）并下载最新版本的Bro安装包。 2. 解压下载的安装包到您选择的目录。可以使用文件压缩软件（例如7-Zip）来...

“相关推荐”对你有帮助么？

  • 非常没帮助
  • 没帮助
  • 一般
  • 有帮助
  • 非常有帮助
提交
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值