Mercury NPF para Zeek

Este plugin do Zeek implementa o formato Network Protocol Fingerprinting (NPF) conforme especificado no projeto Mercury.

Visão geral

O plugin inspeciona os seguintes protocolos e gera o NPF para eles:

• TCP
• TLS e DTLS
• QUIC
• HTTP
• SSH
• OpenVPN (requer a instalação de https://github.com/corelight/zeek-spicy-openvpn)
• STUN (requer a instalação de https://github.com/corelight/zeek-spicy-stun)

Instalação

Este plugin é distribuído como um pacote Zeek.

Para instalar a versão atual usando o gerenciador de pacotes Zeek zkg, basta usar

zkg install corelight/zeek-mercury-npf

Se você quiser instalá-lo a partir do repositório atual, use

zkg install .

Configuração

O plugin fornece opções de configuração para controlar a versão das impressões digitais geradas para alguns protocolos.

QUIC

Você pode escolher entre duas versões de impressão digital QUIC:

• Mercury::QUIC::MERCURY_QUIC (padrão)
• Mercury::QUIC::MERCURY_QUIC_1

Para alterar a versão, adicione o seguinte ao seu local.zeek:

redef Mercury::QUIC::fingerprint_version = Mercury::QUIC::MERCURY_QUIC_1

TLS/DTLS

Você pode escolher entre três versões de impressão digital TLS/DTLS:

• Mercury::TLS::MERCURY_TLS (padrão)
• Mercury::TLS::MERCURY_TLS_1
• Mercury::TLS::MERCURY_TLS_2

Para alterar a versão, adicione o seguinte ao seu local.zeek:

redef Mercury::TLS::fingerprint_version = Mercury::TLS::MERCURY_TLS_2;