linux - 如何在传出流量上设置 Evil Bit

Question

因此，对于我正在编写的与安全相关的应用程序，我实际上想使用 RFC3514(“The Evil Bit”)来确定网络中的哪些流量集在每个数据包级别上是恶意的或不是恶意的。这用作辅助机器学习引擎的训练数据，因此应用程序必须事先知道哪些数据包是恶意的，哪些不是。

这应该相当简单，只需设置一个 IP 层位即可。我已经尝试使用 iptables 或 libpcap 来实现这一点，但要么它们没有该功能，要么我没能发现它。

如果能够为机器的所有流量设置它会很好，但对输出的内容进行过滤会更好。 (比如能够指定设置哪些更高层协议(protocol)等...)

我也在使用 Ubuntu。所以首选 Linux 解决方案。但除此之外，使用什么方法来实现这一点并不重要。 Bash 脚本、c/c++ 应用程序、设置一些 sysctl 等等。

Answer 1

显然这实际上是为 FreeBSD 实现的 - 也许您可以看看他们的代码？

http://www.cs.columbia.edu/~smb/3514.html