Mercury NPF pour Zeek

Ce plugin Zeek implémente le format Network Protocol Fingerprinting (NPF) tel que spécifié dans le projet Mercury.

Aperçu

Le plugin inspecte les protocoles suivants et génère le NPF pour ceux-ci :

• TCP
• TLS et DTLS
• QUIC
• HTTP
• SSH
• OpenVPN (nécessite l'installation de https://github.com/corelight/zeek-spicy-openvpn)
• STUN (nécessite l'installation de https://github.com/corelight/zeek-spicy-stun)

Installation

Ce plugin est distribué en tant que package Zeek.

Pour installer la version actuelle à l'aide du gestionnaire de packages Zeek zkg, utilisez simplement

zkg install corelight/zeek-mercury-npf

Si vous souhaitez l'installer à partir du dépôt actuel, utilisez

zkg install .

Configuration

Le plugin fournit des options de configuration pour contrôler la version des empreintes générées pour certains protocoles.

QUIC

Vous pouvez choisir entre deux versions d'empreintes QUIC :

• Mercury::QUIC::MERCURY_QUIC (par défaut)
• Mercury::QUIC::MERCURY_QUIC_1

Pour changer la version, ajoutez ce qui suit à votre local.zeek :

redef Mercury::QUIC::fingerprint_version = Mercury::QUIC::MERCURY_QUIC_1

TLS/DTLS

Vous pouvez choisir entre trois versions d'empreintes TLS/DTLS :

• Mercury::TLS::MERCURY_TLS (par défaut)
• Mercury::TLS::MERCURY_TLS_1
• Mercury::TLS::MERCURY_TLS_2

Pour changer la version, ajoutez ce qui suit à votre local.zeek :

redef Mercury::TLS::fingerprint_version = Mercury::TLS::MERCURY_TLS_2;