bro - 使用 Bro 收集当前流量的统计信息

Question

我想每 10 秒收集一次流量统计信息，我发现的唯一工具是 connection_state_remove 事件，

event connection_state_remove(c: connection)
{
        SumStats::observe( "traffic", [$str="all"] [$num=c$orig$num_bytes_ip] );
}

如何处理在此期间结束时未删除的那些连接。如何从他们那里获得统计数据？

Answer 1

您正在处理的事件与 SumStats 框架报告统计信息的时间间隔无关。首先，您需要定义您关心的统计数据究竟是什么——例如，您可能想要计算 Bro 在给定时间间隔内完成处理的连接数。其次，您需要定义时间间隔（在您的情况下为 10 秒）以及如何在 SumStats 框架中处理统计观察结果。您的代码段中缺少后一部分：您只是进行观察，但没有告诉框架如何处理它。

SumStats 文档中的示例与您要查找的内容非常接近。