流量监控分析工具-ZEEK

0x01 About ZEEK

0x01a 什么是zeek

Zeek是一个被动的开源网络流量分析器。许多运营商将Zeek用作网络安全监视器（NSM），以支持对可疑或恶意活动的调查。Zeek还支持安全领域以外的各种流量分析任务，包括性能评估和故障排除。

新用户从Zeek获得的第一个好处是描述网络活动的大量日志。这些日志不仅包括网络上看到的每个连接的全面记录，还包括应用程序层记录。这些包括所有HTTP会话及其请求的URI，密钥标头，MIME类型和服务器响应，带回复的DNS请求，SSL证书，SMTP会话的关键内容，以及更多。默认情况下，Zeek将所有这些信息写入结构良好的制表符分隔或JSON日志文件中，这些文件适合使用外部软件进行后处理。用户还可以选择让外部数据库或SIEM产品使用，存储，处理和显示数据以进行查询。

除了日志外，Zeek还具有用于一系列分析和检测任务的内置功能，包括：

1. 从HTTP会话中提取文件
2. 通过与外部注册表进行接口来检测恶意软件
3. 报告网络上可见的易受攻击的软件版本
4. 识别流行的网络应用程序
5. 检测SSH暴力破解
6. 验证SSL证书链
7. …

除了“开箱即用”提供如此强大的功能外，Zeek还是一个完全可定制且可扩展的流量分析平台。Zeek为用户提供了一种特定于域的图灵完备的脚本语言，用于表达任意分析任务。将Zeek语言视为“特定于域的Python”（或Perl）：就像Python一样，该系统具有大量的预建功能（“标准库”），但用户也可以使用Zeek通过编写自定义代码以新颖的方式。实际上，Zeek的所有默认分析（包括日志记录）都是通过脚本完成的。没有将具体的分析硬编码到系统