Mercury NPF für Zeek

Dieses Zeek-Plugin implementiert das Network Protocol Fingerprinting (NPF)-Format wie im Mercury-Projekt spezifiziert.

Überblick

Das Plugin untersucht die folgenden Protokolle und erzeugt für sie die NPF:

• TCP
• TLS und DTLS
• QUIC
• HTTP
• SSH
• OpenVPN (erfordert die Installation von https://github.com/corelight/zeek-spicy-openvpn)
• STUN (erfordert die Installation von https://github.com/corelight/zeek-spicy-stun)

Installation

Dieses Plugin wird als Zeek-Paket verteilt.

Um die aktuelle Version mit dem Zeek-Paketmanager zkg zu installieren, verwenden Sie einfach

zkg install corelight/zeek-mercury-npf

Wenn Sie es aus dem aktuellen Repository installieren möchten, verwenden Sie

zkg install .

Konfiguration

Das Plugin bietet Konfigurationsoptionen, um die Version der für einige Protokolle erzeugten Fingerabdrücke zu steuern.

QUIC

Sie können zwischen zwei QUIC-Fingerabdruckversionen wählen:

• Mercury::QUIC::MERCURY_QUIC (Standard)
• Mercury::QUIC::MERCURY_QUIC_1

Um die Version zu ändern, fügen Sie Folgendes zu Ihrer local.zeek hinzu:

redef Mercury::QUIC::fingerprint_version = Mercury::QUIC::MERCURY_QUIC_1

TLS/DTLS

Sie können zwischen drei TLS/DTLS-Fingerabdruckversionen wählen:

• Mercury::TLS::MERCURY_TLS (Standard)
• Mercury::TLS::MERCURY_TLS_1
• Mercury::TLS::MERCURY_TLS_2

Um die Version zu ändern, fügen Sie Folgendes zu Ihrer local.zeek hinzu:

redef Mercury::TLS::fingerprint_version = Mercury::TLS::MERCURY_TLS_2;