Ders 1.20: Zeek günlüklerinde av: zeek-cut ve uid'ler

Mavi Takım 101, conn.log'u awk ve sütun numaralarıyla okudu. Ölçek büyüyünce daha fazlası gerekir: zeek-cut alanları adıyla seçer ve zaman damgalarını çevirir, local_orig ve local_resp adres aralıklarını tahmin etmeden içeriyi dışarıdan ayırır ve her günlük satırı tek bir bağlantıyı conn.log, ssl.log, http.log ve diğerleri arasında birbirine bağlayan bir uid taşır. Laboratuvarda Northwind'in bir gecelik günlüklerinde av yapıyor, internete 2,4 GB gönderen bir finans iş istasyonunu buluyor, ne tür bir istemci olduğunu görmek için uid'ini TLS günlüğüne kadar izliyor ve tam zaman aralığını kesinleştiriyorsun.

16 dk

Bu derste öğreneceklerin

Zeek günlük başlıklarını, alanlarını ve türlerini okumak
zeek-cut ile alanları adıyla seçmek
local_resp ile iç ve dış trafiği ayırmak
Tek bir bağlantıyı uid'iyle günlükler arasında bağlamak
Kesin bir zaman çizelgesi kurmak

Temel terimler

NSM (ağ güvenliği izleme): Saldırıları tespit etmek ve incelemek için ağ verisi toplamak ve analiz etmek.
Zeek: Trafiği yapılandırılmış günlüklere (conn, dns, http, ssl …) dönüştüren açık kaynak ağ izleyicisi.
SPAN portu / TAP: Trafiği yolun üzerinde olmadan bir sensöre kopyalayan anahtar portu ya da cihaz.
Başlatan / yanıtlayan: Bağlantıyı açan taraf / yanıt veren taraf.
uid: Zeek'in bir bağlantı için benzersiz kimliği; onu tanımlayan her günlükte tekrarlanır.
local_orig / local_resp: O tarafın adresi Zeek'e yerel olduğu söylenen ağlardaysa T.
Veri sızdırma: Verinin yetkisiz olarak kurum dışına çıkarılması.

← Bilgisayar ağı nedir? · Tüm dersler · Bir makinenin saldırı yüzeyi →