Введена команда для передачи результата выполнения команды head в zeek-cut (рисунок 1.17).
Рисунок 1.17 – Результат обработки лог-файла conn.log с использованием head
Чтобы отобразить первые 10 пакетов, необходимо указать 18 строк для вывода. Введена следующая команда для передачи результата выполнения команды head в zeek-cut (Рисунок 1.18).
Рисунок 1.18 – Результат обработки лог-файла conn.log с использованием head с параметром
1.8 Вывод полученных результатов в текстовый файл
Введите команду для того, чтобы вывести данные, полученные с помощью утилиты zeek-cut в текстовый файл (рисунок 1.19).
Рисунок 1.19 – Вывод результата выполнения zeek-cut в файл output.txt
Далее выведены верхние 10 строк нового файла output.txt (рисунок 1.20).
12
Рисунок 1.20 – Вывод значений первых 10 строк файла output.txt
1.9 Вывод полученных результатов в csv файл
Далее введена команда для экспорта файла в формате csv, для этого используется параметр -F (рисунок 1.21).
Рисунок 1.21 – Вывод результата выполнения zeek-cut в файл output.txt с использованием разделителя
Далее отображены 10 верхних строк файла output.csv с помощью команды head (рисунок 1.22).
Рисунок 1.22 – Вывод значений первых 10 строк файла output.csv
Был закрыт текущий экземпляр Zeek (рисунок 1.23).
Рисунок 1.23 – Корректная остановка работы Zeek
13
1.10 Создание shell-скрипта
Далее запущена программа LXTerminal для открытия командной оболочки Linux. Затем запущена система Zeek (рисунок 1.24).
Рисунок 1.24 – Запуск системы Zeek и создание файла сценария lab2script.sh
Далее в файл lab2script.sh записан новый сценарий (рисунок 1.25).
Рисунок 1.25 – Запись нового сценария в файл lab2script.sh
Далее изменены разрешения файла сценария: он сделан исполняемым.
Далее для того, чтобы убедиться, что исполнение файла сценария lab2script.sh
осуществляется без ошибок, введена команда запуска скрипта (рисунок 1.26).
Рисунок 1.26 – Запуск скрипта lab2script.sh
Выполнен переход в директорию рабочего пространства лабораторных работ. Выведен ряд файлов директории /Zeek-Labs/TCP-Traffic/, куда согласно сценарию lab2script.sh должны быть помещены полученные лог-файлы в результате обработки файла захвата smallFlows.pcap (рисунок 1.27).
14
Рисунок 1.27 – Файлы директории TCP-Traffic
1.11 Применение утилиты zeek-cut для расширенного анализа логфайлов
Сначала в текстовом редакторе nano был открыт ранее созданный сценарий lab2script.sh. Далее был переписан сценарий обработки файла захвата smallFlows.pcap: выводятся 10 IP адресов источников, генерирующих наибольшее количество сетевых пакетов, в порядке убывания количества пакетов (рисунок 1.28).
Рисунок 1.28 – Изменения в файле lab2script.sh
Был выполнен переход в директорию Zeek-Labs. Затем запущен измененный сценарий (рисунок 1.29).
Рисунок 1.29 – Результат выполнения сценария lab2script.sh
Был открыт тот же сценарий в текстовом редакторе nano и изменен следующим образом (рисунок 1.30).
15
Рисунок 1.30 – Изменения в файле lab2script.sh
Был запущен измененный сценарий: выводятся 10 портов назначения,
которые получили больше всего сетевых пакетов, расположенных в порядке убывания (рисунок 1.31).
Рисунок 1.31 – Результат выполнения сценария lab2script.sh
Был открыт тот же сценарий в текстовом редакторе nano и изменен следующим образом: выводится число подключений для каждой сетевой службы (рисунок 1.32).
Рисунок 1.32 – Изменение содержимого файла lab2script.sh
Затем был запущен измененный сценарий. Результат выполнения сценария представлен на рисунке 1.33.
Рисунок 1.33 – Результат выполнения сценария lab2script.sh
16