security - 兄弟：只记录一个流

Question

我的目标是运行类似命令bro --iface <interface>并仅获取 conn.log，但我无法从 Bro 文档或手册页中得知如何执行此操作。

谢谢。

Answer 1

这让你去：

bro -i <interface> -b base/protocols/conn

在-b您以“裸模式”启动 Bro 时，这意味着它不会加载标准脚本集。默认情况下，人们会使用此模式禁用所有内容，并仅选择性地启用某些分析。通常，您可以在命令行上提供随 Bro 发行版提供的任意脚本列表。在这种情况下，我展示了它与生成conn.log.