corelight/conn-burstバーストしている（大量のデータを素早く転送している）接続を識別するためのBroパッケージ。
このパッケージは、「バースト接続」を識別します。バースト接続とは、 大量のデータを短時間に転送する接続のことです。バースト性のある接続が 一度識別されると、その接続は以後バースト性の監視対象から外れます。
バースト性のある接続が識別されると、イベント ConnBurst::detected が
生成され、conn_burst という名前のログストリームにログが書き込まれます。
bro-pkg refresh
bro-pkg install bro/corelight/conn-burst
分析と検出に影響を与える可能性のある設定オプションがいくつかあります。
ConnBurst::speed_threshold - Mbps 単位で定義された double 値です。
これは、ネットワーク上のバースト接続を、このレートより速くデータを
転送している接続とみなすことを意味します。デフォルトの速度しきい値は
50Mbps です。
ConnBurst::size_threshold - MB 単位で定義された double 値です。
接続の転送レートがテストされる前に、最低限これだけのトラフィックが
転送されることを望む場合に使用します。これにより、たまたまデータを
高速に転送する小規模な接続がバースト性ありと識別されるのを防ぎます。
小規模で高速な接続は、おそらく分析にそれほど重要ではないためです。
デフォルトのサイズしきい値は 100MB です。
接続バーストが検出されると、次のイベントが生成されます。 接続バーストに基づいて何かを行いたい場合は、これをスクリプトに コピーして貼り付けることができます。
event ConnBurst::detected(c: connection, rate_in_mbps: double)
{
# Do something here!
}
この問題に効率的に取り組む方法についての最初の議論をしてくれた Robin Sommer に感謝します。また、リリース前のテストとバグ修正を 行ってくれた Aashish Sharma と Keith Lehigh にも感謝します。