Merhaba arkadaslar,
Wireshark paketi tek tek incelemek icin harika ama surekli calisan, olay ureten bir ag gorunurlugu istiyorsaniz Zeek (eski adiyla Bro) cok daha uygun. Zeek ham trafigi zengin, yapilandirilmis loglara cevirir. Bu konuda kurulumu ve ilk loglari okumayi anlatacagim.
Konuda Anlatilacaklar
- Zeek nedir, IDS'ten farki
- Kurulum
- Pcap'ten log uretme
- Onemli log dosyalari
- Basit bir tespit mantigi
1) Zeek Nedir?
Zeek bir imza tabanli IDS degil; bir ag analiz cercevesidir. Snort/Suricata "bu imzaya uyan paketi yakala" derken, Zeek "agda ne olup bittigini" ayrintili olarak kaydeder: hangi IP hangi IP ile konustu, hangi DNS sorgusu yapildi, hangi dosya transfer edildi. Bu loglar sonradan avlanma (threat hunting) icin paha bicilmezdir.
2) Kurulum
Debian/Ubuntu uzerinde resmi depo ile:
Kod:
echo 'deb http://download.opensuse.org/repositories/security:/zeek/Debian_12/ /' | sudo tee /etc/apt/sources.list.d/zeek.list
sudo apt update && sudo apt install -y zeek
export PATH=$PATH:/opt/zeek/bin3) Pcap'ten Log Uretme
Canli arayuz yerine once elinizdeki bir pcap ile denemek guvenli yoldur:
Kod:
zeek -r ornek.pcap
ls
# conn.log dns.log http.log ssl.log files.log ...Zeek her protokol icin ayri bir log uretir. Canli dinleme icin
Kod:
sudo zeek -i eth04) Onemli Loglar
- conn.log: tum baglantilarin ozeti (kaynak, hedef, sure, bayt)
- dns.log: DNS sorgulari, DGA/tunnel avinda altin deger
- http.log: istekler, user-agent, URI
- ssl.log: TLS el sikismalari, sertifikalar (JA3 ile birlikte)
- files.log: transfer edilen dosyalar ve hash'leri
Loglari okumak icin zeek-cut pratiktir:
Kod:
cat conn.log | zeek-cut id.orig_h id.resp_h id.resp_p service duration | head5) Basit Tespit
Ornegin cok sayida farkli porta kisa baglantilar bir port taramasina isaret edebilir. dns.log'da anormal derecede uzun veya cok sayida alt alan adi DNS tunnel suphesi yaratir. Bu loglari Elastic veya baska bir SIEM'e besleyip panolar kurabilirsiniz.
Kaynaklar
Alıntı:Yasal not: Trafik izlemeyi yalnizca sahibi oldugunuz veya izinli oldugunuz aglarda yapin.
Siz Zeek loglarini hangi SIEM ile besliyorsunuz?