Bro / Zeek调试日志？

Question

还有更多关于Bro / Zeek的调试信息吗？到目前为止，我知道的情况如下。

• 登录Manager & workers (Stderr.log，Stdout.log)
• 溴化态
• 溴化诊断
• broctl打印和对等状态都挂起，因此对调试没有任何用处。
• 溴顶

我的Bro安装有很多错误，但是日志显示没有什么问题。我假设有一些隐藏的调试标志或其他东西，或者一些日志可以显示一些信息，但我找不到它们。

• broctl对等状态挂起，以及打印
• stderr和stdout没有显示任何问题。
• 只有日志是stats、记录员、集群、代理、stderr和stdout。
• 没有conn日志，也没有其他任何日志

我找到了关于对等状态挂起的链接，这意味着有一种方法可以打开花椰菜的调试，只是不确定这是正确的途径。http://mailman.icsi.berkeley.edu/pipermail/zeek/2016-December/011149.html

Answer 1

是的，如果您使用--enable-debug构建Zeek，那么还有一个额外的命令行选项，允许您启用/禁用几个调试流：

$ zeek --help
...
-B|--debug <dbgstreams>        | Enable debugging output for selected streams ('-B help' for help)

$ zeek -B help

Enable debug output into debug.log with -B <streams>.
<streams> is a comma-separated list of streams to enable.

Available streams:
  serial
  rules
  state
  chunkedio
  string
  notifiers
  main-loop
  dpd
  tm
  logging
  input
  threading
  file_analysis
  plugins
  zeekygen
  pktio
  broker
  scripts

  plugin-<plugin-name>   (replace '::' in name with '-'; e.g., '-B plugin-Bro-Netmap')

Pseudo streams
  verbose  Increase verbosity.
  all      Enable all streams at maximum verbosity.

对于您启用的每个流，您将在debug.log中找到相应的条目

$ zeek -B all -r test.pcap
$ head debug.log
         0.000000/1559682553.492973 [zeekygen] Made ScriptInfo base/init-bare.zeek
         0.000000/1559682553.492997 [scripts] Loading /home/christian/inst/opt/zeek/share/bro//base/init-bare.zeek
         0.000000/1559682553.493094 [serial] Write bool true [true]
         0.000000/1559682553.493099 [serial] bool SerialObj::Serialize(SerialInfo*) const [0x3668000, new pid 0, tid 528948]
         0.000000/1559682553.493103 [serial] -- Caching
         0.000000/1559682553.493105 [serial]    Write bool true [full]
         0.000000/1559682553.493122 [serial]    Write uint64 0 [pid]
         0.000000/1559682553.493126 [serial]    virtual bool EnumType::DoSerialize(SerialInfo*) const
         0.000000/1559682553.493128 [serial]       virtual bool BroType::DoSerialize(SerialInfo*) const
         0.000000/1559682553.493131 [serial]          virtual bool BroObj::DoSerialize(SerialInfo*) const