intrusion-detection - 如何使用 bro 从 pcap 文件生成 software.log？

Question

我正在尝试从我拥有的 PCAP 文件生成 software.log 文件，默认的 bro -r my.pcap 似乎会生成一些日志文件，但不会生成此日志文件。在谷歌搜索后，在最后添加 local 应该可以修复它，但事实并非如此。

Answer 1

默认情况下，软件日志将仅跟踪“本地”主机的软件。 Bro 这样做是因为它将已知软件存储在内存中，如果它默认跟踪所有发现的软件，它将很快消耗所有可用内存。

您有两个选择，您可以告知 Bro 您的本地地址空间，也可以告诉 Bro 跟踪所有软件。您还需要加载脚本，将软件信息信息输入到软件框架中，我们将通过加载 local.bro 来加载该软件框架，其中包括加载所有这些脚本的行。

通知 Bro 本地地址空间:

bro -r my.pcap“Site::local_nets+={192.168.0.0/16,10.0.0.0/8}”local.bro

或

通过加载调整脚本使软件框架跟踪所有软件，该脚本为所有主机启用所有内置 Assets 跟踪:

bro -r my.pcap adjustment/track-all-assets.bro local.bro

或

要获得更深入的答案，您还可以直接调整软件框架中的选项，使其跟踪所有软件:

bro -r my.pcap Software::asset_tracking=ALL_HOSTS local.bro