zeek-long-connections

الاتصالات الطويلة

يقوم Zeek عادةً بتسجيل الاتصالات عند نهاية الاتصال، ولكن هذا يمكن أن يسبب مشكلة للمستجيبين للحوادث في حالة الاتصالات التي تدوم طويلًا جدًا والتي تظل غير معروفة للمدافعين حتى فوات الأوان.

توفر هذه الحزمة سجلًا جديدًا باسم conn_long يقوم بتسجيل سجلات conn "وسيطة" للاتصالات الطويلة. ويتم تسجيله في تدفق سجلات منفصل لتجنب الخلط بين دلالات سجل conn العادي في Zeek، والذي يمكن للمستخدمين افتراض أنه يحتوي فقط على الاتصالات "الكاملة".

يمكن للبرنامج النصي أيضًا إنشاء إشعار LongConnection::found كلما اكتشف اتصالًا طويلًا.

التثبيت

::

zkg refresh
zkg install zeek/corelight/zeek-long-connections

الإعدادات

المدد الافتراضية هي

::

10min, 30min, 1hr, 12hr, 24hrs, 3days

ويمكن تغييرها باستخدام

::

redef LongConnection::default_durations = LongConnection::Durations(2min, 10mins, 30mins);

افتراضيًا، بعد الوصول إلى المدة الأخيرة لن تكون هناك أي إدخالات إضافية لـ conn_long أو إشعارات. ويمكن تغيير ذلك باستخدام

::

redef LongConnection::repeat_last_duration=T;

إذا تم تمكين هذا الخيار، فإن قائمة المدد التالية

::

(2min, 10mins, 30mins)

سوف تتصرف مثل

::

(2min, 10mins, 30mins, 30mins, 30mins, 30mins, 30mins, ...)

الإشعارات مفعلة افتراضيًا ولكن يمكن تعطيلها باستخدام

::

redef LongConnection::do_notice=F;