Mercury NPF per Zeek

Questo plugin Zeek implementa il formato Network Protocol Fingerprinting (NPF) come specificato nel progetto Mercury.

Panoramica

Il plugin ispeziona i seguenti protocolli e genera l'NPF per essi:

• TCP
• TLS e DTLS
• QUIC
• HTTP
• SSH
• OpenVPN (richiede l'installazione di https://github.com/corelight/zeek-spicy-openvpn)
• STUN (richiede l'installazione di https://github.com/corelight/zeek-spicy-stun)

Installazione

Questo plugin è distribuito come pacchetto Zeek.

Per installare la versione corrente utilizzando il gestore di pacchetti Zeek zkg, è sufficiente usare

zkg install corelight/zeek-mercury-npf

Se si desidera installarlo dal repository corrente, usare

zkg install .

Configurazione

Il plugin fornisce opzioni di configurazione per controllare la versione delle impronte digitali generate per alcuni protocolli.

QUIC

È possibile scegliere tra due versioni di impronta digitale QUIC:

• Mercury::QUIC::MERCURY_QUIC (predefinita)
• Mercury::QUIC::MERCURY_QUIC_1

Per cambiare la versione, aggiungere quanto segue al proprio local.zeek:

redef Mercury::QUIC::fingerprint_version = Mercury::QUIC::MERCURY_QUIC_1

TLS/DTLS

È possibile scegliere tra tre versioni di impronta digitale TLS/DTLS:

• Mercury::TLS::MERCURY_TLS (predefinita)
• Mercury::TLS::MERCURY_TLS_1
• Mercury::TLS::MERCURY_TLS_2

Per cambiare la versione, aggiungere quanto segue al proprio local.zeek:

redef Mercury::TLS::fingerprint_version = Mercury::TLS::MERCURY_TLS_2;