Zeek實(shí)戰(zhàn)：快速構(gòu)建流量安全能力

第1章網(wǎng)絡(luò)流量與網(wǎng)絡(luò)安全第1章網(wǎng)絡(luò)流量與網(wǎng)絡(luò)安全1
1.1網(wǎng)絡(luò)與安全1
1.2流量與網(wǎng)絡(luò)3
1.3流量分析4
1.4經(jīng)驗(yàn)與總結(jié)7
基礎(chǔ)篇
第2章Zeek介紹112.1Zeek是什么11
2.2Zeek的特點(diǎn)13
2.2.1部署使用14
2.2.2內(nèi)置功能15
2.2.3開(kāi)發(fā)語(yǔ)言15
2.3Zeek的功能架構(gòu)16
2.4Zeek的應(yīng)用場(chǎng)景18
2.5Zeek的版本與相關(guān)資源21
2.6經(jīng)驗(yàn)與總結(jié)21
第3章搭建環(huán)境23
3.1本書(shū)運(yùn)行環(huán)境23
3.1.1安裝VirtualBox24
3.1.2創(chuàng)建虛擬機(jī)26
3.1.3安裝Ubuntu Desktop操作系統(tǒng)26
3.1.4優(yōu)化運(yùn)行環(huán)境30
3.1.5配置網(wǎng)絡(luò)34
3.2從外部源安裝Zeek39
3.3從源代碼安裝Zeek42
3.4運(yùn)行Zeek42
3.5經(jīng)驗(yàn)與總結(jié)44
第4章認(rèn)識(shí)與使用Zeek45
4.1目錄結(jié)構(gòu)45
4.2zeek命令與zeekctl命令52
4.2.1zeek命令52
4.2.2zeekctl命令56
4.3分析日志（logging）58
4.3.1日志的功能60
4.3.2日志的存儲(chǔ)63
4.4conn.log日志文件64
4.4.1uid字段65
4.4.2orig、resp與local等字段72
4.4.3conn_state與history字段73
4.5加載腳本76
4.6zeekcut工具77
4.7zeekygen工具80
4.8btest框架82
4.9經(jīng)驗(yàn)與總結(jié)87
第5章基礎(chǔ)應(yīng)用示例88
5.1發(fā)現(xiàn)網(wǎng)絡(luò)資產(chǎn)88
5.2網(wǎng)絡(luò)掃描93
5.3SSH暴力破解96
5.4SQL注入99
5.5文件解析102
5.6可視化分析108
5.7經(jīng)驗(yàn)與總結(jié)118
Zeek實(shí)戰(zhàn)——快速構(gòu)建流量安全能力目錄進(jìn)階篇
第6章Zeek腳本1216.1“Hello World！”程序121
6.2基本語(yǔ)法122
6.3運(yùn)算符（operator）124
6.3.1算術(shù)運(yùn)算符124
6.3.2邏輯運(yùn)算符124
6.3.3關(guān)系運(yùn)算符125
6.3.4位運(yùn)算符125
6.3.5賦值運(yùn)算符126
6.3.6其他運(yùn)算符126
6.4數(shù)據(jù)類(lèi)型（types）127
6.4.1int、count、double數(shù)據(jù)類(lèi)型127
6.4.2bool數(shù)據(jù)類(lèi)型130
6.4.3enum數(shù)據(jù)類(lèi)型130
6.4.4string數(shù)據(jù)類(lèi)型133
6.4.5time、interval數(shù)據(jù)類(lèi)型135
6.4.6pattern數(shù)據(jù)類(lèi)型137
6.4.7port、addr、subnet數(shù)據(jù)類(lèi)型138
6.4.8set、vector、table數(shù)據(jù)類(lèi)型139
6.4.9record數(shù)據(jù)類(lèi)型147
6.4.10file數(shù)據(jù)類(lèi)型148
6.4.11opaque數(shù)據(jù)類(lèi)型149
6.4.12function、event、hook數(shù)據(jù)類(lèi)型150
6.4.13any數(shù)據(jù)類(lèi)型155
6.5聲明（declarations）155
6.5.1module、export聲明155
6.5.2global、local聲明158
6.5.3const聲明160
6.5.4option聲明160
6.5.5type聲明161
6.5.6redef聲明161
6.5.7function、event、hook聲明162
6.6語(yǔ)句（statements）163
6.6.1add、delete語(yǔ)句163
6.6.2print語(yǔ)句163
6.6.3event、schedule語(yǔ)句164
6.6.4for、while、next語(yǔ)句165
6.6.5if、else、switch、fallthrough語(yǔ)句168
6.6.6when語(yǔ)句170
6.6.7break語(yǔ)句172
6.6.8return語(yǔ)句172
6.7屬性（attributes）173
6.7.1&redef屬性173
6.7.2&priority屬性173
6.7.3&log屬性173
6.7.4&optional屬性173
6.7.5&default屬性173
6.7.6&add_func、&delete_func屬性174
6.7.7&create_expire、&read_expire、&write_expire、&expire_func屬性175
6.7.8&on_change屬性177
6.7.9&raw_output屬性178
6.7.10&error_handler屬性179
6.7.11&type_column屬性179
6.7.12&backend、&broker_store、&broker_allow_complex_type屬性179
6.7.13&deprecated屬性179
6.8指令（directives）179
6.8.1@DIR、@FILENAME指令179
6.8.2@deprecated指令180
6.8.3@load、@loadplugin、@loadsigs、@unload指令180
6.8.4@prefixes指令181
6.8.5@if、@ifdef、@ifndef、@else、@endif指令181
6.8.6@DEBUG指令183
6.9模塊、命名空間與作用域183
6.9.1全局模塊184
6.9.2符號(hào)的作用域185
6.9.3符號(hào)檢索的順序187
6.10常用數(shù)據(jù)結(jié)構(gòu)188
6.10.1GLOBAL::conn_id結(jié)構(gòu)188
6.10.2GLOBAL::endpoint結(jié)構(gòu)189
6.10.3GLOBAL::connection結(jié)構(gòu)189
6.11經(jīng)驗(yàn)與總結(jié)190
第7章Zeek框架192
7.1日志框架（Log::）192
7.1.1日志流193
7.1.2過(guò)濾器194
7.1.3輸出端195
7.1.4代碼示例195
7.2輸入框架（Input::）197
7.2.1讀取至table類(lèi)型197
7.2.2讀取至Files::框架200
7.2.3讀取至event事件200
7.2.4數(shù)據(jù)來(lái)源201
7.3配置框架（Config::）202
7.4統(tǒng)計(jì)框架（SumStats::）206
7.4.1基礎(chǔ)概念及使用方法206
7.4.2關(guān)鍵數(shù)據(jù)結(jié)構(gòu)及接口208
7.5通知框架（Notice::）211
7.5.1基礎(chǔ)使用方法212
7.5.2添加action214
7.5.3Weird::模塊216
7.6文件框架（Files::）217
7.6.1文件視角217
7.6.2分析器222
7.6.3本地文件分析225
7.7情報(bào)框架（Intel::）227
7.7.1形成情報(bào)數(shù)據(jù)227
7.7.2查詢(xún)情報(bào)的邏輯229
7.7.3命中之后的行為229
7.7.4代碼示例229
7.8特征框架（Signatures::）231
7.8.1基本功能232
7.8.2特征語(yǔ)法234
7.9經(jīng)驗(yàn)與總結(jié)239
第8章進(jìn)階應(yīng)用示例242
8.1常用資源242
8.2分析目標(biāo)243
8.3規(guī)劃腳本243
8.4實(shí)現(xiàn)功能244
8.5經(jīng)驗(yàn)與總結(jié)247