Unir registros por identificador de conexión

2 tareas · 40 min · Principiante

0 de 2 · 0%

El identificador uid de Zeek permite realizar consultas SQL/KQL/ESQL uniendo múltiples tablas: conn.log (duración y bytes), dns.log (resolución previa), ssl.log (huellas y certificados) y http.log (métodos y rutas). Esta capacidad de reconstruir la historia completa de una sesión sin necesidad de abrir archivos PCAP pesados es el núcleo de la caza de red moderna.

Responde para continuar

¿Qué consulta analítica ejemplifica la unión multidimensional en telemetría de Zeek?

Unir conn.log con ssl.log y dns.log utilizando el campo uid como clave común de enlace Filtrar exclusivamente paquetes con tamaño par en los conmutadores de acceso Sumar todos los números de puerto de origen para obtener un hash criptográfico de la red Buscar la palabra clave 'malware' en texto plano dentro de la memoria caché del enrutador

Ver pista de ayuda

El enlace por clave primaria común de sesión (uid).

Verifica en la tabla zeek_conn el número de puerto de destino (resp_p) de la conexión C9u8v7w6x5.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Qué puerto de destino (resp_p) utilizó la conexión de 7200.4 segundos?

Ver pista de ayuda

Observa el valor en la columna resp_p de la primera fila en zeek_conn.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Análisis de Tráfico de Red · Zeek Logs & Suricata EVE

Zeek Network Security Monitor / Suricata IDS Engine

Tablas

zeek_conn

uid
orig_h
orig_p
resp_h
resp_p
proto
duration
orig_bytes
resp_bytes
conn_state

zeek_dns

uid
orig_h
resp_h
query
qtype_name
answers

zeek_ssl

uid
orig_h
resp_h
server_name
ja3
ja4

suricata_alerts

timestamp
src_ip
dest_ip
signature
severity
action

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Reconstrucción multidimensional de sesiones de red

2 Puerto de destino en la conexión C9u8v7w6x5 Lab

Whoami-Labs Pro utiliza cookies