NetFlow ve Zeek kayıtlarının mantığı

NetFlow ve Zeek kayıtlarının mantığı dersinde neler var

Ağ Güvenliği yolunun 9 dakikalık dersi. Kazanılan puan: 60 XP.

Büyük bir ağda her paketi saklamak mümkün değildir; NetFlow ve Zeek bunun yerine akışın özetini tutar.

NetFlow beş değerli anahtar ve sayaçlarla çalışır, Zeek ise her bağlantıyı ayrı bir satıra yazan zengin kayıtlar üretir.

Bu derste iki kayıt biçimini okuyacak ve kurgu bir conn.log'dan şüpheli akışı ayıklayacaksın.

Bu derste sınanan sorular

• NetFlow kaydı alanını açıklamasıyla eşleştir. NetFlow yalnız özet sayaçları tutar. Yükün kendisi hiç kaydedilmez; bu da kaydı küçük ama içerikten yoksun bırakır.
• Zeek conn.log kaydında her bağlantıya verilen ve başka Zeek kayıtlarında aynı bağlantıyı izlemeye yarayan benzersiz kimlik alanının adı ____'dir. uid her bağlantıya tek bir kimlik verir. Aynı uid'i http.log ya da files.log gibi başka Zeek kayıtlarında da bulursan, o bağlantının farklı katmanlardaki izini birleştirirsin.
• Kurgu conn.log satırlarından port taraması izi taşıyanları seç. 203.0.113.19 üç saniye içinde aynı hedefin üç farklı portuna S0 (cevapsız) bağlantı deniyor; bu örüntü port taramasının Zeek kaydındaki imzasıdır. 192.0.2.44'ün SF ile biten iki kaydı normal, tamamlanmış web bağlantısıdır.
• Kurgu NetFlow satırlarından, 203.0.113.19 kaynağından gelen ve 1KB'tan az veri taşıyan akışları yakalayan düzenli ifade yaz. İlk ve dördüncü satır hem 203.0.113.19 kaynağından geliyor hem de 1KB'ın altında kalıyor; bu düşük hacimli akışlar tarama denemesine benzer. İkinci satır aynı kaynaktan ama hacmi yüksek, gerçek bir veri aktarımı olabilir.
• Elinde yalnız NetFlow kayıtları var, tam paket yakalaman yok. Bir akışın HTTP isteğinde hangi sayfaya gidildiğini öğrenmek istiyorsun. Bu mümkün müdür? NetFlow yalnız beş değerli anahtarı ve sayaçları tutar, uygulama katmanı ayrıntısını hiç kaydetmez. Sayfa adı gibi bir bilgi için ya tam paket yakalama ya da Zeek'in http.log gibi uygulama katmanı kayıtları gerekir.