是否可以使用Zeek检查TCP保留位？

Question

我正在测试Zeek/Bro在检测不同类型的隐写术方面的能力。在使用了ICMP协议之后，现在我正在尝试检查TCP协议。我想检测TCP中的保留位是否在TCP事件的帮助下被更改。不幸的是没有成功。

是否可以使用Zeek检查TCP保留位？

Answer 1

不是从盒子里出来的，不。添加TCP的一种方法是在本地构建中展开TCP_Flags class，以便捕获TCP的th_x2字段位。然后，使用tcp_packet事件，它报告标志。

但是，这将是相当缓慢的，因为这将是数据包级的分析。