security - 兄弟:只记录一个流

Question

我的目标是运行类似 bro --iface <interface> 的命令并只获取​​ conn.log，但我无法从 Bro 文档或联机帮助页中得知如何执行此操作。

谢谢。

Answer 1

这让你继续:

bro -i <interface> -b base/protocols/conn

使用 -b 可以在“裸模式”下启动 Bro，这意味着它不会加载标准脚本集。人们会使用这种模式默认禁用所有内容，只选择性地启用某些分析。通常，您可以在命令行上提供随 Bro 发行版一起提供的任意脚本列表。在这种情况下，我展示了它与生成 conn.log 的脚本一起工作。