Mercury NPF para Zeek

Este plugin de Zeek implementa el formato Network Protocol Fingerprinting (NPF) tal y como se especifica en el proyecto Mercury.

Descripción general

El plugin inspecciona los siguientes protocolos y genera el NPF para ellos:

• TCP
• TLS y DTLS
• QUIC
• HTTP
• SSH
• OpenVPN (requiere la instalación de https://github.com/corelight/zeek-spicy-openvpn)
• STUN (requiere la instalación de https://github.com/corelight/zeek-spicy-stun)

Instalación

Este plugin se distribuye como un paquete de Zeek.

Para instalar la versión actual usando el gestor de paquetes de Zeek zkg, simplemente use

zkg install corelight/zeek-mercury-npf

Si desea instalarlo desde el repositorio actual, use

zkg install .

Configuración

El plugin proporciona opciones de configuración para controlar la versión de las huellas digitales (fingerprints) generadas para algunos protocolos.

QUIC

Puede elegir entre dos versiones de huella digital de QUIC:

• Mercury::QUIC::MERCURY_QUIC (predeterminada)
• Mercury::QUIC::MERCURY_QUIC_1

Para cambiar la versión, añada lo siguiente a su local.zeek:

redef Mercury::QUIC::fingerprint_version = Mercury::QUIC::MERCURY_QUIC_1

TLS/DTLS

Puede elegir entre tres versiones de huella digital de TLS/DTLS:

• Mercury::TLS::MERCURY_TLS (predeterminada)
• Mercury::TLS::MERCURY_TLS_1
• Mercury::TLS::MERCURY_TLS_2

Para cambiar la versión, añada lo siguiente a su local.zeek:

redef Mercury::TLS::fingerprint_version = Mercury::TLS::MERCURY_TLS_2;