如何配置bro忽略来自某些子网的流量？

Question

情景:我已经设置了一个Zeek/Bro IDS，并让它在一个接口上侦听(使用iptables转发流量。

client1 === iptables === client2
               ||
            zeek_ids

问题: Zeek被127.0.0.1/8流量触发，我找不到任何材料来帮助我忽略Google上的这些流量。

问:为了不局限于127.0.0.0/8流量，我如何配置Zeek，使其能够忽略来自某些子网的流量？

附加信息1:我尝试将子网(127.0.0.0/8)添加到$ZEEK_PREFIX/etc/networks.cfg，但未执行任何操作

Answer 1

您有多个选项，所有选项都使用BPF筛选器来排除特定的子网范围。您可以：

• 使用-f调用Zeek来传入这样的过滤器，
• 将条目添加到脚本层中的capture_filters表中，
• 使用Zeek的更高级功能

在您的例子中可能使用的BPF过滤器是not net 127.0.0.0/8。