Zeek

01무엇이고, 어떤 일을 하나

• 연결과 응용 프로토콜의 의미 있는 필드를 기록한다.
• 스크립트 기반 정책으로 이벤트를 조합한다.
• 경보와 패킷만으로 부족한 통신 타임라인을 제공한다.

02어떤 순서로 동작하나

1. 패킷 수신

   센서가 볼 인터페이스와 트래픽 복사 경로를 정한다. 분석 결과의 범위는 실제 캡처한 데이터에 한정된다.

2. 프로토콜 해석

   연결 상태와 응용 프로토콜 분석기가 의미 있는 이벤트를 만든다. 비표준 포트·암호화·불완전 스트림은 해석 조건에 영향을 준다.

3. 정책 처리

   스크립트가 이벤트를 처리하여 필요한 로그·상태·알림을 생성한다. Zeek를 단순히 공격 경보를 전혀 만들지 않는 도구로 정의하지 않는다.

4. 자료 연결

   uid·시간·주소·프로토콜 필드를 활용해 여러 로그와 원본 증거를 대조한다. 다른 센서의 식별자와는 별도 매핑이 필요할 수 있다.

03먼저 알아둘 용어와 구성요소

conn.log

연결의 양 끝·시각·상태·전송량 등을 기록하는 로그.

uid

관련 Zeek 로그에서 연결을 이어 읽는 식별자.

Protocol analyzer

트래픽을 프로토콜 구조와 이벤트로 해석하는 부분.

Notice

정책이 주목할 상황으로 보고하는 알림 체계.

id.orig_h·id.resp_h

연결의 시작 측·응답 측 주소 필드.

conn_state

관찰된 연결 상태의 요약 값으로 프로토콜 문맥에 따라 해석한다.

history

양쪽에서 관찰한 TCP 플래그·자료 전송 등의 이력을 압축한 표현.

missed_bytes

분석에서 누락으로 관찰한 바이트 관련 정보.

04예제로 따라가기

• 가상 DNS 질의 뒤의 TCP 연결과 HTTP 요청을 연결해 호스트가 어떤 자원에 접근했는지 추적할 수 있다.
• TLS 트래픽에서는 암호화되지 않은 메타데이터가 관찰되어도 애플리케이션 본문 전체를 알 수는 없다.
• NAT 전후 센서의 주소가 다르면 같은 통신이라고 연결하기 위해 변환 정보와 시간 범위를 확인한다.

05혼동하기 쉬운 점과 확인 기준

• 네트워크에서 일어나는 모든 일을 기록한다는 표현은 센서 위치·패킷 손실·분석 지원 범위를 과장한다.
• 프로토콜 로그의 존재와 그 행위의 악성 여부는 다르므로 정상 사용·자산 문맥과 함께 판단한다.

06상세 노트 · 실습 자료

헤더 구조, 설정 예시, 수치 계산과 수업 캡처는 아래 노트에서 이어집니다.