corelight/conn-burstUm pacote Bro para identificar conexões que estão em rajada (muitos dados e transferência rápida).
Este pacote identifica "conexões em rajada" que são consideradas conexões que transferem uma grande quantidade de dados rapidamente. Depois que uma conexão em rajada é identificada, ela não é mais monitorada quanto a ser uma rajada.
Quando uma conexão em rajada é identificada, o evento ConnBurst::detected é gerado e um log é gravado em um fluxo de log chamado conn_burst.
bro-pkg refresh
bro-pkg install bro/corelight/conn-burst
Há algumas opções de configuração que podem ter impacto na análise e na detecção.
ConnBurst::speed_threshold - Este é um valor double definido em Mbps e significa que você considera uma conexão em rajada na sua rede como aquela que está transferindo dados mais rápido do que essa taxa. O limite de velocidade padrão é 50Mbps.
ConnBurst::size_threshold - Este é um valor double definido em MB e significa que você deseja um mínimo de tráfego transferido antes que a taxa de transferência da conexão seja testada. Isso evita identificar uma conexão pequena que por acaso transfere dados rapidamente como sendo em rajada, já que é provável que uma conexão pequena e rápida não importe tanto assim para a sua análise. O limite de tamanho padrão é 100MB.
Quando uma conexão em rajada é detectada, o seguinte evento será gerado. Você pode copiar e colar isso no seu script se quiser fazer algo baseado em uma conexão em rajada.
event ConnBurst::detected(c: connection, rate_in_mbps: double)
{
# Do something here!
}
Agradecemos a Robin Sommer pela discussão inicial sobre como abordar este problema de forma eficiente. Além disso, agradecemos a Aashish Sharma e Keith Lehigh pelos testes de pré-lançamento e por corrigirem alguns bugs!