Как анализировать захваченный сетевой трафик?

Question

У меня есть некоторый сетевой трафик в следующем формате:

Timestamp | Source | Destination | Protocol | Port | Payload | Payload Size

Я пытаюсь определить, есть ли какие-либо известные атаки в этом движении. Для этого я рассматривал некоторые системы обнаружения вторжений. Похоже, что и Snort, и Bro требуют, чтобы дамп был файлом pcap для дальнейшего автономного анализа. Я подробно рассмотрел документацию обеих систем, но не смог найти никаких вариантов обработки данных, которые у меня есть.

Любые предложения по выполнению этого анализа? В частности, я ищу одного из следующих способов:

• Некоторые указатели о том, как непосредственно использовать системы для анализа этих данных в виде простого текста
• Tool, чтобы преобразовать эти данные в PCAP файл, который я могу использовать позднее с системами

Answer 1

Вы изучали Security Onion? Это делает именно то, что вы ищете (данные потока, которые вы ищете (с argus или Bro), и давайте вам поворачиваться к pcaps из этих потоков.

Answer 2

Bro предоставляет структуру под названием Input Framework для «ввода данных в bro» .

Вы можете указать, какие значения должны быть прочитаны, какой разделитель следует использовать и так далее (options-reference). Структура ввода дает вам возможность читать такие файлы ASCII или использовать разные считыватели (эталонный, двоичный, raw, sqlite).

Вы можете, например, использовать RawReader для выполнения команд оболочки для преобразования файла или отправки результата (stdout) в событие.