2

Захват трафика с помощью tcpdump`а - вещь замечательная, особенно, когда потом весь захваченный трафик можно посмотреть в удобном представлении. Но обычно в процессе мониторинга сети накапливается огромный массив данных, который приходится, в лучшем случае, разбивать по файлам с ограничением по размеру(дабы потом тот же wireshark не подавился).

Вопрос такой: можете ли подсказать наиболее удобное средство(желательно опенсорсное), которое бы позволяло потом по этим pcap-файлам производить фильтрацию? Т.е применять фильтр сразу к массиву файлов.

P.S Целевая задача - в том, чтобы обеспечить обнаружение специфичных атак. Так что в совершенстве нужно наилучшим образом завернуть трафик через какое-нибудь средство анализа подозрительных пакетов и обнаружения атак.

2 ответа 2

1

Snort умеет читать pcap. Через командную строку можно и фильтрануть ...

1

Можно написать свой фильтр, используя простую библиотеку https://github.com/wkoroy/pcap_file_generator

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.