conn.log y la anatomía de una conexión

2 tareas · 40 min · Principiante

0 de 2 · 0%

El archivo conn.log de Zeek es el pilar fundamental del análisis de tráfico defensivo. No almacena paquetes completos, sino sesiones normalizadas con campos como uid (identificador único global de conexión), IPs y puertos origen/destino, protocolo, duración, volumen de bytes en ambas direcciones y el estado de terminación TCP (conn_state, por ejemplo SF para cierre normal o S1 para conexión abierta sin respuesta del servidor).

Responde para continuar

¿Qué indica el valor 'SF' en el campo conn_state de una conexión TCP registrada en conn.log?

Fallo de sincronización inicial por rechazo del cortafuegos perimetral Conexión que permanece en estado SYN_SENT sin respuesta del servidor de destino Cierre normal de la sesión TCP mediante el intercambio completo de flags SYN/FIN Sesión terminada de forma forzada por un paquete RST generado por el cliente

Ver pista de ayuda

Evalúa el acrónimo 'SYN-FIN' en la máquina de estados de Zeek.

Revisa en la tabla zeek_conn la conexión con duración de 7200.4 segundos y extrae su identificador único (uid).

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál es el valor del uid para la conexión de 7200.4 segundos en zeek_conn?

Ver pista de ayuda

Observa el primer registro de la tabla zeek_conn.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Análisis de Tráfico de Red · Zeek Logs & Suricata EVE

Zeek Network Security Monitor / Suricata IDS Engine

Tablas

zeek_conn

uid
orig_h
orig_p
resp_h
resp_p
proto
duration
orig_bytes
resp_bytes
conn_state

zeek_dns

uid
orig_h
resp_h
query
qtype_name
answers

zeek_ssl

uid
orig_h
resp_h
server_name
ja3
ja4

suricata_alerts

timestamp
src_ip
dest_ip
signature
severity
action

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Estructura y semántica de conn.log en Zeek

2 Identificador UID de la conexión prolongada Lab

Whoami-Labs Pro utiliza cookies