corelight/zeek-mercury-npfTCP、TLS/DTLS、QUIC、HTTP、SSH、OpenVPN、STUN向けのMercury NPFフィンガープリントを生成し、ネットワークセキュリティ監視を支援するZeekプラグイン。
この Zeek プラグインは、Mercury プロジェクトで規定されている Network Protocol Fingerprinting (NPF) 形式を実装したものです。
このプラグインは以下のプロトコルを検査し、それらの NPF を生成します:
このプラグインは Zeek パッケージとして配布されています。
Zeek パッケージマネージャー zkg を使用して現在のバージョンをインストールするには、次を実行してください
zkg install corelight/zeek-mercury-npf
現在のリポジトリからインストールする場合は、次を実行してください
zkg install .
このプラグインは、一部のプロトコルで生成されるフィンガープリントのバージョンを制御するための設定オプションを提供します。
QUIC フィンガープリントのバージョンは 2 つから選択できます:
Mercury::QUIC::MERCURY_QUIC (デフォルト)Mercury::QUIC::MERCURY_QUIC_1バージョンを変更するには、local.zeek に以下を追加してください:
redef Mercury::QUIC::fingerprint_version = Mercury::QUIC::MERCURY_QUIC_1
TLS/DTLS フィンガープリントのバージョンは 3 つから選択できます:
Mercury::TLS::MERCURY_TLS (デフォルト)Mercury::TLS::MERCURY_TLS_1Mercury::TLS::MERCURY_TLS_2バージョンを変更するには、local.zeek に以下を追加してください:
redef Mercury::TLS::fingerprint_version = Mercury::TLS::MERCURY_TLS_2;