corelight/zeek-long-connections完了する前に報告するため、長時間の接続を追跡するZeekパッケージ
Zeek は通常、接続の終了時に接続をログに記録しますが、これにより、長時間続く接続が防御側に知られないまま終了してしまう場合に、インシデントレスポンダーにとって問題が生じることがあります。
このパッケージは、長時間の接続に対する「中間」conn ログを記録する conn_long という新しいログを提供します。これは、ユーザーが「完了した」接続のみを含むと想定できる通常の Zeek conn ログの意味論を混乱させないように、別のログストリームに記録されます。
このスクリプトは、長時間の接続を検出したときに LongConnection::found 通知を生成することもできます。
::
zkg refresh
zkg install zeek/corelight/zeek-long-connections
デフォルトの時間は次のとおりです。
::
10min, 30min, 1hr, 12hr, 24hrs, 3days
これは次のように変更できます。
::
redef LongConnection::default_durations = LongConnection::Durations(2min, 10mins, 30mins);
デフォルトでは、最後の時間に達した後は、それ以上 conn_long エントリや通知は生成されません。これは次のように変更できます。
::
redef LongConnection::repeat_last_duration=T;
このオプションが有効な場合、次の時間リストは
::
(2min, 10mins, 30mins)
次のように動作します。
::
(2min, 10mins, 30mins, 30mins, 30mins, 30mins, 30mins, ...)
通知はデフォルトで有効ですが、次のようにして無効にできます。
::
redef LongConnection::do_notice=F;