Zeek용 Mercury NPF

이 Zeek 플러그인은 Mercury 프로젝트에서 정의된 네트워크 프로토콜 핑거프린팅(NPF) 형식을 구현합니다.

개요

이 플러그인은 다음 프로토콜을 검사하고 이에 대한 NPF를 생성합니다:

• TCP
• TLS 및 DTLS
• QUIC
• HTTP
• SSH
• OpenVPN (https://github.com/corelight/zeek-spicy-openvpn 설치 필요)
• STUN (https://github.com/corelight/zeek-spicy-stun 설치 필요)

설치

이 플러그인은 Zeek 패키지로 배포됩니다.

Zeek 패키지 관리자 zkg를 사용하여 현재 버전을 설치하려면 다음을 사용하세요.

zkg install corelight/zeek-mercury-npf

현재 리포지토리에서 설치하려면 다음을 사용하세요.

zkg install .

구성

이 플러그인은 일부 프로토콜에 대해 생성되는 핑거프린트 버전을 제어하는 구성 옵션을 제공합니다.

QUIC

두 가지 QUIC 핑거프린트 버전 중에서 선택할 수 있습니다:

• Mercury::QUIC::MERCURY_QUIC (기본값)
• Mercury::QUIC::MERCURY_QUIC_1

버전을 변경하려면 local.zeek에 다음을 추가하세요:

redef Mercury::QUIC::fingerprint_version = Mercury::QUIC::MERCURY_QUIC_1

TLS/DTLS

세 가지 TLS/DTLS 핑거프린트 버전 중에서 선택할 수 있습니다:

• Mercury::TLS::MERCURY_TLS (기본값)
• Mercury::TLS::MERCURY_TLS_1
• Mercury::TLS::MERCURY_TLS_2

버전을 변경하려면 local.zeek에 다음을 추가하세요:

redef Mercury::TLS::fingerprint_version = Mercury::TLS::MERCURY_TLS_2;