Zeek/Bro IDS - Sumstats - qty大小相似的TCP数据段？

Question

我正在尝试用Zeek编写我的第一个脚本，它将允许对本地网络中客户端发送和接收的TLS数据包段进行统计(具有相同大小的数据包的数量，按发送的数据包列出的目标ip )。不幸的是，我找不到合适的活动或指南来帮助我找到解决方案。我可以得到一个关于这个的建议吗？

Answer 1

Zeek有几个数据包级事件，可能会让您开始使用：

• https://docs.zeek.org/en/current/scripts/base/bif/event.bif.zeek.html#id-new_packet
• https://docs.zeek.org/en/current/scripts/base/bif/event.bif.zeek.html#id-raw_packet
• https://docs.zeek.org/en/current/scripts/base/bif/event.bif.zeek.html#id-packet_contents

请注意这些事件附带的警告:它们会招致高的每个事件的开销，因为它们将为每个数据包生成，因此它们很可能不适合在实时流量上部署。