Sebek配置

1. sbk_install.sh脚本有八个主要配置参数，配置文件决定了Sebek收集什么样的信息及发送信息的目的地等信息。

INTERFACE/接口：决定记录某个端口的数据，该接口不需要配IP地址。默认值是eth0。

DESTINATION IP/目标IP：指定Sebek生成的数据包中的目的IP地址。因为Sebek服务端在收集数据包的时候

并不查看数据包的目的地址，所以这里没有不要配置成Sebek服务端的IP地址。如果我们配置成服务端的IP地址，

在入侵者发现这些数据包的时候，很容易被入侵者看出AGSSH模型的网关。

DESTINATION MAC/目标MAC地址：由于Sebek不使用ARP协议，所以这个选项必须使用网关的MAC地址。

在测试的时候，可以把它设置成FF:FF:FF:FF:FF:FF，通过局域网广播到每台主机。

MAGIC VALUE/Magic值：结合目的端口号一起确定蜜罐系统上需要隐藏的数据包。一般情况下，同局域网上的

所有Sebek客户端配置成同样的Magic值和目的端口号。

DESTINATION UDP PORT/目标UDP端口：指定Sebek数据包的目的UDP端口号，与MAGIC值一起决定了隐藏何种数据包。

SOURCE UDP PORT/源UDP端口：定义了Sebek数据包的源UDP端口号。

KEYSTROKES ONLY/击键情况：这个选项只能设置成1或0。如果是1，那么Sebek只收集击键记录。如果是0，

则记录系统所有的read数据。

TESTING/测试：二进制测试标识，如果设置了该标识，将会发生两种情况：内核模块不会隐藏；模块中附加的debug

调试信息会被激活，并且debug信息会被记录到syslog。