zeek-mercury-npf — Mis à jour !
Plugin Zeek générant des empreintes Mercury NPF pour TCP, TLS/DTLS, QUIC, HTTP, SSH, OpenVPN et STUN afin de soutenir la surveillance de la sécurité réseau.
Mercury NPF pour Zeek
Ce plugin Zeek implémente le format Network Protocol Fingerprinting (NPF) tel que spécifié dans le projet Mercury.
Aperçu
Le plugin inspecte les protocoles suivants et génère le NPF pour ceux-ci :
- TCP
- TLS et DTLS
- QUIC
- HTTP
- SSH
- OpenVPN (nécessite l'installation de https://github.com/corelight/zeek-spicy-openvpn)
- STUN (nécessite l'installation de https://github.com/corelight/zeek-spicy-stun)
Installation
Ce plugin est distribué en tant que package Zeek.
Pour installer la version actuelle à l'aide du gestionnaire de packages Zeek zkg, utilisez simplement
zkg install corelight/zeek-mercury-npf
Si vous souhaitez l'installer à partir du dépôt actuel, utilisez
zkg install .
Configuration
Le plugin fournit des options de configuration pour contrôler la version des empreintes générées pour certains protocoles.
QUIC
Vous pouvez choisir entre deux versions d'empreintes QUIC :
Mercury::QUIC::MERCURY_QUIC(par défaut)Mercury::QUIC::MERCURY_QUIC_1
Pour changer la version, ajoutez ce qui suit à votre local.zeek :
redef Mercury::QUIC::fingerprint_version = Mercury::QUIC::MERCURY_QUIC_1
TLS/DTLS
Vous pouvez choisir entre trois versions d'empreintes TLS/DTLS :
Mercury::TLS::MERCURY_TLS(par défaut)Mercury::TLS::MERCURY_TLS_1Mercury::TLS::MERCURY_TLS_2
Pour changer la version, ajoutez ce qui suit à votre local.zeek :
redef Mercury::TLS::fingerprint_version = Mercury::TLS::MERCURY_TLS_2;