網(wǎng)絡(luò)安全網(wǎng)絡(luò)IDS【免費(fèi)下載鏈接】zeekZeek is a powerful network analysis framework that is much different from the typical IDS you may know.項(xiàng)目地址https://gitcode.com/gh_mirrors/ze/zeek點(diǎn)擊查看免費(fèi)下載本文聚焦 Zeek 的policy/frameworks/software/version-changes.zeek策略腳本講解如何針對(duì)特定軟件名如 Apache、OpenSSH 等在主機(jī)的軟件版本發(fā)生變化時(shí)自動(dòng)產(chǎn)生 Notice涵蓋核心配置項(xiàng)Software::interesting_version_changes、新增 Notice 類型Software_Version_Change、底層事件觸發(fā)鏈路、配置加載方式與 btest 驗(yàn)證方法。讀完本文你將能夠獨(dú)立在 Zeek 部署中啟用并定制軟件版本變更告警并理解其與基礎(chǔ)軟件框架Software::found/Software::version_change/tracked_software的協(xié)作關(guān)系。腳本定位與功能概述version-changes.zeek是 Zeek 軟件框架Software framework的一個(gè)可選策略腳本位于 scripts/policy/frameworks/software/version-changes.zeek屬于policy而非base層意味著它需要用戶顯式加載才會(huì)生效。它的核心價(jià)值在于并非所有軟件版本變化都值得告警。例如某臺(tái)主機(jī)上瀏覽器頻繁升級(jí)、或某個(gè)無關(guān)緊要的客戶端軟件版本跳動(dòng)往往不構(gòu)成安全事件但如果是 Web 服務(wù)器、SSH 服務(wù)、數(shù)據(jù)庫等關(guān)鍵軟件在同一主機(jī)上出現(xiàn)版本變化則可能意味著升級(jí)、被篡改或未授權(quán)變更。該腳本正是為此提供一種白名單式的告警機(jī)制——由運(yùn)維者預(yù)先聲明哪些軟件名是敏感的之后只要這些軟件在同一主機(jī)上被觀測(cè)到版本變化就觸發(fā)一條 Notice。腳本默認(rèn)狀態(tài)是空集告警未配置任何軟件名時(shí)不產(chǎn)生任何版本變更告警只有將軟件名加入Software::interesting_version_changes集合后相關(guān)版本變化才會(huì)進(jìn)入 Notice 流程。核心配置項(xiàng)Software::interesting_version_changes腳本暴露的唯一運(yùn)行時(shí)選項(xiàng)是Software::interesting_version_changes其定義位于 scripts/policy/frameworks/software/version-changes.zeek 的 export 塊中## Some software is more interesting when the version changes and this ## is a set of all software that should raise a notice when a different ## version is seen on a host. option interesting_version_changes: set[string] {};關(guān)鍵屬性如下表屬性值所屬命名空間Software類型set[string]屬性標(biāo)志redef可重定義實(shí)際聲明為option默認(rèn)值{}空集語義集合中每個(gè)字符串是一個(gè)軟件名對(duì)應(yīng)Software::Info記錄中的name字段如 Apache、OpenSSH當(dāng)這些軟件在某一主機(jī)上的版本發(fā)生變化時(shí)產(chǎn)生 Notice配置示例——將 Apache 與 OpenSSH 加入關(guān)注名單redef Software::interesting_version_changes { Apache, OpenSSH };也可以直接在local.zeek中追加。需要特別說明的是interesting_version_changes匹配的是軟件名稱而非版本且名稱由軟件框架解析unparsed_version后規(guī)范化得到例如瀏覽器類字符串會(huì)被統(tǒng)一為 Firefox、Chrome 等參見 scripts/base/frameworks/software/main.zeek 中的parse_mozilla與alternate_names邏輯。因此配置前建議先觀察software.log中實(shí)際記錄的name字段確保名稱拼寫一致。新增 Notice 類型Software_Version_Change腳本通過redef enum Notice::Type ...向 Notice 框架注冊(cè)了一個(gè)新的告警類型redef enum Notice::Type { ## For certain software, a version changing may matter. In that ## case, this notice will be generated. Software that matters ## if the version changes can be configured with the ## :zeek:id:Software::interesting_version_changes variable. Software_Version_Change, };Software_Version_Change的語義在 scripts/policy/frameworks/software/version-changes.zeek 的注釋中明確說明對(duì)某些軟件而言版本變化可能很重要。此時(shí)會(huì)生成此 Notice哪些軟件的版本變化需要關(guān)注可通過Software::interesting_version_changes變量配置。該類型的每條 Notice 記錄包含以下字段在事件處理中構(gòu)造詳見下文Notice 字段內(nèi)容$noteSoftware::Software_Version_Change$src檢測(cè)到軟件變化的主機(jī)地址new$host$msg格式化的變化描述文本$sub新軟件信息的可讀摘要software_fmt(new)事件處理與告警生成流程Software::version_change 事件的處理邏輯腳本的核心是一個(gè)針對(duì)Software::version_change事件的事件處理器event Software::version_change(old: Software::Info, new: Software::Info) { if ( old$name !in interesting_version_changes ) return; local msg fmt(%.6f %s %s version changed from %s to %s, network_time(), old$software_type, old$name, software_fmt_version(old$version), software_fmt_version(new$version)); NOTICE(Notice::Info($noteSoftware_Version_Change, $srcnew$host, $msgmsg, $subsoftware_fmt(new))); }處理流程分三步白名單過濾檢查舊記錄的name是否位于interesting_version_changes集合中不在則直接返回不產(chǎn)生任何輸出。構(gòu)造消息用fmt生成形如1700000000.000000 SERVER Apache version changed from 2.4.41 to 2.4.54的文本。其中network_time()給出精確到微秒的網(wǎng)絡(luò)時(shí)間戳old$software_type是軟件類型枚舉如HTTP::SERVER、SSH::SERVERsoftware_fmt_version()將結(jié)構(gòu)化的Software::Version記錄格式化為a.b.c-x形式的字符串其實(shí)現(xiàn)見 scripts/base/frameworks/software/main.zeek缺失的段會(huì)省略附加串以-前綴拼接。發(fā)出 Notice調(diào)用NOTICE(...)告警源$src取新記錄的主機(jī)地址new$host$sub取software_fmt(new)格式為name a.b.c便于在 Notice 視圖中快速定位。事件從哪里來register → version_change 的觸發(fā)鏈Software::version_change事件本身由基礎(chǔ)軟件框架scripts/base/frameworks/software/main.zeek定義并在Software::register事件處理器中觸發(fā)。觸發(fā)條件是同一主機(jī)、同一軟件名已經(jīng)存在至少一條被跟蹤的版本記錄且新觀測(cè)到的版本字符串與該軟件名下已記錄的版本均不相同。對(duì)應(yīng)代碼如下if ( info$name !in ss ) ss[info$name] Set(); else event Software::version_change(ss[info$name]$last, info);其中ss來自tracked_software表——這是一個(gè)按主機(jī)地址addr索引、將軟件名映射到Set版本字符串集合 最近一次Info的表?xiàng)l目默認(rèn)一天過期create_expire1day因此同一版本每天最多記錄一次的語義由框架保證。old參數(shù)即該主機(jī)上該軟件上次記錄的Infonew即本次新發(fā)現(xiàn)的Info。值得注意version_change的判定基于未解析版本字符串software_fmt_unparsed_version優(yōu)先取unparsed_version字段而非數(shù)值化版本比較——也就是說即使解析出的數(shù)字版本相同只要原始字符串不同如 1.0.0 與 1.0.0也會(huì)視為一次變化。若要嚴(yán)格按數(shù)值比較版本可參考框架中的Software::cmp_versions函數(shù)scripts/base/frameworks/software/main.zeek但當(dāng)前腳本并未采用。數(shù)據(jù)來源Software::found 與協(xié)議檢測(cè)腳本底層數(shù)據(jù)由各協(xié)議策略腳本通過Software::found(id: conn_id, info: Software::Info)注入該函數(shù)定義于 scripts/base/frameworks/software/main.zeek。當(dāng)前倉庫中調(diào)用Software::found的檢測(cè)腳本包括scripts/policy/protocols/http/software.zeekHTTP 服務(wù)器/客戶端軟件scripts/policy/protocols/ssh/software.zeekSSH 服務(wù)端版本scripts/policy/protocols/smtp/software.zeek、scripts/policy/protocols/ftp/software.zeek、scripts/policy/protocols/mysql/software.zeek、scripts/policy/protocols/dhcp/software.zeek 等scripts/policy/frameworks/software/windows-version-detection.zeekWindows 主機(jī)版本探測(cè)Software::found內(nèi)部還會(huì)依據(jù)Software::asset_tracking選項(xiàng)可選值LOCAL_HOSTS/REMOTE_HOSTS/ALL_HOSTS/NO_HOSTS默認(rèn)LOCAL_HOSTS決定是否跟蹤某主機(jī)地址因此版本變更監(jiān)控的實(shí)際覆蓋范圍是跟蹤范圍內(nèi)的主機(jī)與關(guān)注名單內(nèi)的軟件名兩者的交集。加載方式與配置落地version-changes.zeek屬于 policy 層需顯式加載。標(biāo)準(zhǔn)做法是在站點(diǎn)本地策略文件 scripts/site/local.zeek 中加載load frameworks/software/version-changes倉庫中的 scripts/site/local.zeek 已包含該行位于load frameworks/software/vulnerable之后并配以redef Software::interesting_version_changes ...即可啟用。完整的最小配置示例load frameworks/software/version-changes # 關(guān)注 Apache 與 OpenSSH 的版本變化 redef Software::interesting_version_changes { Apache, OpenSSH };由于腳本內(nèi)部通過load base/frameworks/notice與load base/frameworks/software自帶了 Notice 框架與軟件基礎(chǔ)框架依賴無需額外手動(dòng)加載這兩個(gè)基礎(chǔ)模塊。行為驗(yàn)證倉庫內(nèi)的 btest 測(cè)試倉庫在 testing/btest/scripts/policy/frameworks/software/version-changes.zeek 提供了完整的回歸測(cè)試可直接作為理解行為與動(dòng)手驗(yàn)證的參考。測(cè)試要點(diǎn)加載base/frameworks/software與policy/frameworks/software/version-changes定義假軟件名my_fake_software并執(zhí)行redef Software::asset_tracking ALL_HOSTS;與redef Software::interesting_version_changes {fake_software_name};構(gòu)造Software::Info記錄通過Software::found(cid, si)模擬循環(huán)上報(bào)版本序列1.0.0 → 1.1.0 → 1.2.0 → 1.0.0 → 1.3.0共 10 次用btest-diff對(duì)比software.log并對(duì)notice.log做去除時(shí)間戳的規(guī)范化對(duì)比第二段測(cè)試將Software::found_cache_interval重定義為0secs以模擬 worker 節(jié)點(diǎn)不抑制重復(fù)上報(bào)的歷史行為驗(yàn)證 proxy 側(cè)的版本去重仍能保證輸出一致。從中可以學(xué)到兩點(diǎn)其一驗(yàn)證版本變化告警需要同時(shí)觀察software.log記錄每次軟件發(fā)現(xiàn)與notice.log記錄版本變化告警其二框架的緩存參數(shù)如found_cache_interval默認(rèn)10mins會(huì)影響重復(fù)上報(bào)的抑制但 proxy 側(cè)的逐主機(jī)去重tracked_software與max_software_cache_size默認(rèn)上限 20 個(gè)版本會(huì)兜底保證最終輸出穩(wěn)定。集群環(huán)境下的行為提示在集群部署中Software::found會(huì)通過Cluster::publish_hrw(Cluster::proxy_pool, ...)按主機(jī)地址一致性哈希發(fā)布到 proxy 節(jié)點(diǎn)見 scripts/base/frameworks/software/main.zeek 中if ( Cluster::is_enabled() )分支tracked_software表隨之均勻分布在 proxy 節(jié)點(diǎn)上。這意味著版本變化判定與Software_Version_ChangeNotice 的生成發(fā)生在 proxy 側(cè)而 worker 只負(fù)責(zé)協(xié)議解析與Software::found上報(bào)。這一設(shè)計(jì)與測(cè)試腳本中在 worker 上關(guān)閉命中抑制、在 proxy 上仍保持去重的驗(yàn)證思路一致。小結(jié)version-changes.zeek以極小的腳本體量不足 40 行提供了一個(gè)可落地的關(guān)注軟件版本漂移告警方案通過Software::interesting_version_changes白名單精確控制告警范圍借助Software_Version_ChangeNotice 類型與Software::version_change事件完成從軟件框架到告警框架的銜接。其上游數(shù)據(jù)鏈為協(xié)議檢測(cè)腳本 →Software::found→Software::register觸發(fā)version_change下游消費(fèi)為標(biāo)準(zhǔn)的 Notice 框架notice.log。將其與Software::asset_tracking、found_cache_interval、max_software_cache_size等基礎(chǔ)框架參數(shù)配合使用即可在單機(jī)與集群兩種形態(tài)下獲得行為一致的版本變更監(jiān)控能力。贊分享網(wǎng)絡(luò)安全網(wǎng)絡(luò)IDS【免費(fèi)下載鏈接】zeekZeek is a powerful network analysis framework that is much different from the typical IDS you may know.項(xiàng)目地址https://gitcode.com/gh_mirrors/ze/zeek點(diǎn)擊查看免費(fèi)下載相關(guān)推薦Zeek 基于 DHCP vendor_class 的軟件識(shí)別與提取policy/protocols/dhcp/software 腳本深度解析Zeek 基于 DHCP vendor_class 的軟件識(shí)別與提取policy/protocols/dhcp/software 腳本深度解析 導(dǎo)讀 本文圍繞網(wǎng)絡(luò)安全網(wǎng)絡(luò)IDSDiceBear Adventurer Neutral 預(yù)設(shè)Presets完整指南從現(xiàn)成配色到深度定制DiceBear Adventurer Neutral 預(yù)設(shè)Presets完整指南從現(xiàn)成配色到深度定制 Adventurer Neutral 是 Dice網(wǎng)絡(luò)安全網(wǎng)絡(luò)IDSZeek Software 框架深度解析軟件版本檢測(cè)、解析與日志追蹤實(shí)戰(zhàn)指南Zeek Software 框架深度解析軟件版本檢測(cè)、解析與日志追蹤實(shí)戰(zhàn)指南 本文以 base/frameworks/software/main.zeek h網(wǎng)絡(luò)安全網(wǎng)絡(luò)IDS上一篇Mozc日語輸入法從零開始打造你的日文輸入環(huán)境下一篇解析 ClearGPT 提示詞工程以《掌控習(xí)慣》作者為原型的習(xí)慣教練 GPT 設(shè)計(jì)與防泄漏機(jī)制創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考