01 Åä¾°

Ó¦ÓÃ×ʲú¹ØϵÊáÀí¼°ÍØÆ˲â»æÔÚÇå¾²ÔËÓªÊÂÇéϵͳµÄÕ½ÂÔ²ãÃæºÍÕ½Êõ²ãÃ涼Æð×ÅÖ÷ÒªµÄÖ§³Ö×÷Óᣡ£¡£¡£¡£È»¶øËæ×ÅÆóÒµÓªÒµÐèÇóµÄÒ»Ö±ÔöÌí£¬£¬
£¬¸÷ÆóÒµ½¨ÉèµÄÓ¦ÓÃϵͳÊýÄ¿Ò²ËæÖ®ÔöÌí£¬£¬
£¬Ò»¸öӪҵϵͳËùÉæ¼°µÄÓ¦ÓÃÊýÄ¿¿ÉÄܸߴＸ°ÙÉõÖÁÉÏǧ¸ö£¬£¬
£¬ÕâЩӦÓÃϵͳ֮¼äµÄÒÀÀµ½»»¥Ô½¶à£¬£¬
£¬Ó¦ÓÃϵͳµÄ¹Øϵ¾ÍÔ½Öش󣬣¬
£¬Õû¸öӪҵϵͳµÄÂß¼­Ò²¸üΪÖش󡣡£¡£¡£¡£

¹ØÓÚÇå¾²ÄÜÁ¦³ÉÊì¶ÈºÜÊǸߵÄÆóÒµ£¬£¬
£¬Í¨³£»£»£»£»áÓÐÒ»Ì×ÓÐÓõÄ×ʲúÇå¾²ÉúÃüÖÜÆÚÖÎÀí²½·¥¡£¡£¡£¡£¡£µ«ÏÖÔڴ󲿷ÖÆóÒµÓÉÓÚÖÎÀíÖ°Ô±±ä»»ºÍ×ʲúά»¤²»µ½Î»£¬£¬
£¬ÔÚ×ʲú·½Ãæ»ò¶à»òÉÙ±£´æÒ»¶¨µÄËÀ½Ç¡£¡£¡£¡£¡£

ÔÚӪҵϵͳ·ºÆðÒì³£»£»£»£»ò±»¶ñÒâ¹¥»÷ʱ£¬£¬
£¬ÆóÒµITÖÎÀíÔ±¶¼ÐèÒªÒ»¸ö׼ȷÇÒ¾¡¿ÉÄÜÍêÕûµÄӪҵϵͳÍØÆË£¬£¬
£¬´Ó¶ø¿ìËÙ¶¨Î»¹ÊÕϵ㲢ʵʱ´¦Öóͷ£Òѱ¬·¢µÄÇå¾²ÊÂÎñ¡£¡£¡£¡£¡£Í¨Ì«¹ýÎöÈ«Á÷Á¿Êý¾ÝÐÅÏ¢£¬£¬
£¬¼´¿ÉÖª×ãÕâÒ»ÐèÇ󡣡£¡£¡£¡£

±¾ÎĽ«´ÓÏÖʵÇå¾²ÔËÓªÏîÄ¿ÖÐ×ܽá³öµÄÂÄÀú³ö·¢£¬£¬
£¬½²ÊöÓ¦ÓÃ×ʲú¹ØϵÊáÀí¼°ÍØÆ˲â»æµÄÏêϸ˼Ð÷¼°°ì·¨£¬£¬
£¬×ÊÖú¸÷ÈËÔÚÏÖʵÊÂÇéÖÐÎÞаÔËÓᣡ£¡£¡£¡£

02 Ìõ¼þÌõ¼þ

ÔÚ°²ÅÅÓ¦ÓÃϵͳµÄ¸÷ÍøÂçÇøÓòÄÚÌáÇ°°²ÅÅÁ÷Á¿ÊÕÂÞÆÊÎöϵͳ£¬£¬
£¬Í¨¹ýÍøÂç½¹µã¡¢»ã¾ÛÉõÖÁ½ÓÈë½»Á÷»úÊÕ·¢µÄÍøÂçÁ÷Á¿Êý¾Ý£¬£¬
£¬²¢¶ÔÆä¾ÙÐÐÆÊÎö£¬£¬
£¬´Ó¶øÅÌËã³öÒ»ÕÅ׼ȷÇÒÍêÕûµÄӪҵϵͳÍØÆË¡£¡£¡£¡£¡£Êý¾ÝÊÕÂÞ·½·¨ÓÐÒÔÏÂ3ÖÖ£º

1¡¢NetFlow£ºÍøÂç×°±¸¿ªÆôNetflow¹¦Ð§£¬£¬
£¬²¢½«NetflowÐÅÏ¢µ¼³öÖÁNetflowÍøÂçÆ÷£¬£¬
£¬½¨ÒéElastic Stack¡£¡£¡£¡£¡£

2¡¢Zeek&suricata£ºÍ¨¹ýÊÕÂÞÍøÂç×°±¸µÄ¾µÏñÁ÷Á¿£¬£¬
£¬ÆÊÎöÍøÂçÁ÷Á¿ÖеÄÒªº¦ÐÅÏ¢£¬£¬
£¬²¢½«ÕâЩҪº¦ÐÅÏ¢ÒÔJSONµÄÃûÌñ£´æÎı¾ÎļþÖС£¡£¡£¡£¡£

3¡¢Arkime£ºÍ¨¹ýÊÕÂÞÍøÂç×°±¸µÄ¾µÏñÁ÷Á¿£¬£¬
£¬ÆÊÎöÍøÂçÁ÷Á¿ÖеĹØϵÐÅÏ¢£¬£¬
£¬²¢½«ÕâЩҪº¦ÐÅÏ¢Ö±½ÓдÈëElasticsearchÊý¾Ý¿âÖС£¡£¡£¡£¡£

03 Ó¦Óý»»¥¹ØϵÊáÀí½¨Òé

1¡¢»á¼ûÔ´ÊáÀí£ºÆ¾Ö¤¸ø¶¨IPµØµã£¬£¬
£¬ÅÌÎÊ»á¼û¸ÃIPµÄËùÓÐÔ´IPµØµã£¬£¬
£¬²¢¹ýÂ˵ô»¥ÁªÍøµØµã£¬£¬
£¬»ñµÃ¸ÃÓ¦ÓýڵãµÄÊÜÖÚ¹¤¾ß¡£¡£¡£¡£¡£

2¡¢»á¼ûÄ¿µÄÊáÀí£ºÆ¾Ö¤¸ø¶¨IPµØµã£¬£¬
£¬ÅÌÎʸÃIP»á¼ûµÄËùÓÐÄ¿µÄIPµØµã£¬£¬
£¬²¢¹ýÂ˵ô»¥ÁªÍøµØµã£¬£¬
£¬»ñµÃ¸ÃÓ¦ÓýڵãµÄЧÀ͹¤¾ß¡£¡£¡£¡£¡£

3¡¢Zeek/Suricata/ArkimeµÄÊý¾ÝȪԴΪÍøÂç¾µÏñÁ÷Á¿£¬£¬
£¬ÈôÊÇϵͳûÓÐÊÕµ½TCPµÄSYN°üʱ£¬£¬
£¬»áµ¼ÖÂÔ´Ä¿IPµØµã¶Ôµ÷£¬£¬
£¬¿ÉÒÔͨ¹ýÏÞÖÆÄ¿µÄ¶Ë¿ÚÊýÖµ£¬£¬
£¬È·±£ÅÌÎÊЧ¹ûµÄ׼ȷÐÔ¡£¡£¡£¡£¡£

4¡¢ÔÚ±£´æ´ó×Ú¶à²ã¼¶Å²ÓùØϵµÄӪҵϵͳʱ£¬£¬
£¬½¨ÒéÏÈͨ¹ýÓ¦ÓùØϵÊáÀí¹¤¾ß½«Ã¿Ò»²ã¼¶µÄŲÓùØϵÊáÀíÍê±Ï£¬£¬
£¬ÔÙͨ¹ýÈ˹¤µ÷ÑÐÅжϵķ½·¨Àο¿ºÃÓªÒµÍØÆË£¬£¬
£¬ÔÚºóÐøŲÓøÃÓªÒµÍØÆËʱ£¬£¬
£¬Ó¦ÓùØϵÊáÀí¹¤¾ß×Ô¶¯ÅÌÎÊÿһ¸ö½ÚµãÉϵĽ»»¥£¬£¬
£¬¼´¿ÉÏàʶӪҵÍØÆ˵Ä׼ȷת±ä¡£¡£¡£¡£¡£

5¡¢ÈôÊDZ£´æÓëÀο¿¹«ÍøµØµãͨѶµÄÓ¦Ó㬣¬
£¬Í¨¹ýÅÌÎÊÌõ¼þ°üÀ¨Ïà¹ØͨѶµØµã¼´¿É¡£¡£¡£¡£¡£

04 ÏÖʵЧ¹û

ÒÔÆÊÎöArkimeϵͳµÄÊý¾ÝΪ»ù´¡£¡£¡£¡£¡£¬£¬
£¬Å²ÓÃArkimeµÄAPI½Ó¿Ú£¬£¬
£¬½«ÐèҪչʾӪҵϵͳÍØÆ˵ÄÌض¨ÓªÒµIPµØµã¡¢ÅÌÎʵÄʱ¼ä¹æÄ£ÒÔ¼°Îª°ü¹ÜÊý¾ÝЧ¹ûµÄ׼ȷÐÔÉè¼ÆµÄÊý¾Ý¹ýÂËÓï¾ä×÷ΪÊý¾ÝÆÊÎöÌõ¼þÌá½»ÖÁArkimeϵͳ£¬£¬
£¬ÓªÒµÏµÍ³ÆÊÎö³ÌÐò½«·µ»ØµÄÊý¾ÝЧ¹û¾ÙÐÐÃûÌû¯£¬£¬
£¬¼´¿É½«ÓªÒµÏµÍ³ÍØÆËչʾÖÁ»­²¼ÖС£¡£¡£¡£¡£

05 ×ܽá

µ±Ó¦ÓÃϵͳÔËÐÐÒì³££¬£¬
£¬»ò·ºÆðÉø͸¹¥»÷ʱ£¬£¬
£¬Ò»·Ý׼ȷ¡¢ÕæʵµÄÓ¦ÓÃÍØÆËͼ£¬£¬
£¬ÍùÍùÄÜÈÃÇå¾²ÍŶӵÄÊÂÇéЧÂÊ»ñµÃ¼«´óµÄÌáÉý¡£¡£¡£¡£¡£Óû§Êý¾ÝÖÐÐÄÔËÐÐ׿¸°ÙÉÏǧÌ×Ó¦ÓÃϵͳ£¬£¬
£¬´ËʱÈôÊÇͨ¹ýÈ˹¤Î¬»¤ÍØÆËÐÅÏ¢£¬£¬
£¬ÔòÐèҪͶÈ뼫´óµÄÈËÁ¦±¾Ç®£¬£¬
£¬²¢ÇÒ¼«¿ÉÄÜ·ºÆðά»¤ÐÅÏ¢½û¾øÈ·µÄÇéÐΡ£¡£¡£¡£¡£µ«Í¨¹ýÁ÷Á¿ÒÔ¼°Ò£²âÊý¾Ý»ùÓÚÕæʵӪҵŲÓûá¼ûÊý¾Ý£¬£¬
£¬½áÊÊÓû§µÄ×ʲúÖÎÀíϵͳÊý¾Ý£¬£¬
£¬¿É×Ô¶¯ÌìÉú¸÷Ó¦ÓÃϵͳÕæʵ¡¢×¼È·µÄÓ¦ÓÃÍØÆËͼ¡£¡£¡£¡£¡£»£»£»£ÉÐÓÐһЩÓÅÊÆÀýÈçµ±Ó¦Ó÷ºÆð±ä»»£¬£¬
£¬ÈçÐÂÔöÓ¦Óýڵã»ò»á¼û¹Øϵ±¬·¢×ª±äʱ£¬£¬
£¬ÏµÍ³¿É×Ô¶¯¸üÐÂÍØÆË£¬£¬
£¬²¢ÎªÓ¦Óö˵½¶Ë×·×ÙÆÊÎö¹¥»÷ÕßÉø͸ºóµÄÄÚÍøºáÏò¼°×ÝÏòÒƶ¯ÐÐΪ£¬£¬
£¬ÎªºóÐøµÄÓ¦¼±ÏìÓ¦ÊÂÇéÌṩÕæʵ׼ȷµÄÊý¾ÝÖ§³Ö¡£¡£¡£¡£¡£

×ʲú¹ØϵÍØÆËÊÇÕû¸ö×ʲúÔËӪģ¿£¿£¿£¿éµÄÖ÷Òª×é³É²¿·Ö£¬£¬
£¬¿ÉÒÔ¿ìËٵء¢ÖÜÈ«µØ¡¢×¼È·µØչʾ×ʲú¹Øϵ£¬£¬
£¬ÓÐÓõÄ×öºÃ×ʲúÊáÀíÊÇÆóÒµ×ʲúÇå¾²½¨ÉèµÄ»ùʯ¡£¡£¡£¡£¡£