Tsusen (津波センサー) هو مستشعر شبكة مستقل مصمم لجمع المعلومات من حركة المرور العادية القادمة من الخارج (أي الإنترنت) على أساس يومي (مثل عمليات المسح الشامل، ماسحات الخدمات، إلخ). يجب مراقبة أي اضطرابات عن كثب لأنها يمكن أن تشكل قاعدة تنبؤ جيدة للأحداث القادمة. على سبيل المثال، استغلال ثغرة خدمة ويب مكتشفة حديثًا (مثل Heartbleed) يجب أن يولد "طفرة" مرئية في العدد الإجمالي لـ"المتطفلين" على منفذ الشبكة المتأثر.

يجب أن تعمل مجموعة الأوامر التالية على تشغيل مستشعر Tsusen الخاص بك (خارج الصندوق مع الإعدادات الافتراضية وواجهة المراقبة any وواجهة تقارير HTTP على المنفذ الافتراضي 8339):

sudo apt-get install python-pcapy
sudo pip install python-geoip python-geoip-geolite2
cd /tmp/
git clone https://github.com/stamparm/tsusen.git
cd tsusen/
sudo python tsusen.py 

يتم تخزين نتائج المستشعر محليًا في ملفات CSV على أساس يومي (مثل 2015-10-27.csv) مع كتابة دورية (تفريغ) لبيانات اليوم الحالي (على سبيل المثال، كل 15 دقيقة). نتائج العينة كما يلي:

proto dst_port dst_ip src_ip first_seen last_seen count
TCP 1080 192.165.63.181 222.186.56.107 1446188056 1446188056 1
TCP 1080 192.165.63.181 64.125.239.78 1446191096 1446191096 1
TCP 1081 192.165.63.181 111.248.100.185 1446175412 1446175412 1
TCP 1081 192.165.63.181 111.248.102.150 1446183374 1446183374 1
TCP 1081 192.165.63.181 36.225.254.129 1446170512 1446170512 1
TCP 1095 192.165.63.181 36.229.233.199 1446177047 1446177047 1
TCP 111 192.165.63.181 80.82.65.219 1446181028 1446181028 1
TCP 111 192.165.63.181 94.102.52.44 1446181035 1446181035 1
TCP 11122 192.165.63.181 222.186.56.39 1446198391 1446198391 1
TCP 11211 192.165.63.181 74.82.47.43 1446200598 1446200598 1
TCP 135 192.165.63.181 1.160.12.156 1446163293 1446163294 3
TCP 135 192.165.63.181 104.174.148.124 1446178211 1446178212 3
TCP 135 192.165.63.181 106.242.5.179 1446180063 1446180064 3
TCP 135 192.165.63.181 173.30.55.76 1446184279 1446195229 6
TCP 135 192.165.63.181 174.100.28.2 1446179470 1446202911 9
TCP 135 192.165.63.181 218.253.225.163 1446174945 1446195646 9
TCP 135 192.165.63.181 219.114.66.114 1446169303 1446183947 6
TCP 135 192.165.63.181 222.186.56.43 1446165515 1446202626 5
...

حيث يمثل proto (على سبيل المثال، في الإدخال الأول هو TCP) البروتوكول الذي استخدمه البادئ القادم من src_ip (على سبيل المثال، في الإدخال الأول هو 222.186.56.107) نحو خدمتنا <dst_ip:dst_port> (على سبيل المثال، في الإدخال الأول هو 192.165.63.181:1080)، ويمثل first_seen وقت (أول محاولة اتصال في ذلك اليوم) بتنسيق الطابع الزمني لـ Unix timestamp (على سبيل المثال، في الإدخال الأول هو 1446188056، وهو ما يمثل Fri, 30 Oct 2015 06:54:16 GMT)، ويمثل last_seen (آخر محاولة اتصال في ذلك اليوم) (على سبيل المثال، في الإدخال الأول هو نفس قيمة first_seen)، بينما يحتوي count على العدد الإجمالي لمحاولات الاتصال.

يمكن الوصول إلى النتائج من خلال واجهة تقارير HTTP (ملاحظة: المنفذ الافتراضي هو 8339):

الترخيص

هذا البرنامج مُقدَّم بموجب ترخيص MIT. راجع المرفق LICENSE لمزيد من المعلومات.