1

无论如何，是否可以通过 Bro / Zeek 查看更多调试信息？这是我到目前为止所知道的。

  • 记录管理器和工作人员（Stderr.log、Stdout.log）
  • 状态
  • 诊断
  • broctl print 和 peerstatus 都挂了，所以对调试没有用
  • 上衣

我的 Bro 安装出现了许多错误，但日志显示没有任何问题。我假设有一些隐藏的调试标志或其他东西，或者一些可以揭示一些信息的日志，但我找不到它们。

  • broctl peerstatus 挂起，以及打印
  • stderr 和 stdout 显示没有问题
  • 只有日志是 stats、reporter、cluster、broker、stderr 和 stdout
  • 没有连接日志或任何其他日志

我发现这个关于 peerstatus 挂起的链接，这意味着有一种方法可以在 broccoli 中打开调试，只是不确定这是正确的路径。 http://mailman.icsi.berkeley.edu/pipermail/zeek/2016-December/011149.html

4

1 回答 1

2

是的，如果您使用 构建 Zeek --enable-debug，那么还有一个额外的命令行选项可让您启用/禁用多个调试流：

$ zeek --help
...
-B|--debug <dbgstreams>        | Enable debugging output for selected streams ('-B help' for help)

$ zeek -B help

Enable debug output into debug.log with -B <streams>.
<streams> is a comma-separated list of streams to enable.

Available streams:
  serial
  rules
  state
  chunkedio
  string
  notifiers
  main-loop
  dpd
  tm
  logging
  input
  threading
  file_analysis
  plugins
  zeekygen
  pktio
  broker
  scripts

  plugin-<plugin-name>   (replace '::' in name with '-'; e.g., '-B plugin-Bro-Netmap')

Pseudo streams
  verbose  Increase verbosity.
  all      Enable all streams at maximum verbosity.

对于您启用的每个流，您将在以下位置找到相应的条目debug.log：

$ zeek -B all -r test.pcap
$ head debug.log
         0.000000/1559682553.492973 [zeekygen] Made ScriptInfo base/init-bare.zeek
         0.000000/1559682553.492997 [scripts] Loading /home/christian/inst/opt/zeek/share/bro//base/init-bare.zeek
         0.000000/1559682553.493094 [serial] Write bool true [true]
         0.000000/1559682553.493099 [serial] bool SerialObj::Serialize(SerialInfo*) const [0x3668000, new pid 0, tid 528948]
         0.000000/1559682553.493103 [serial] -- Caching
         0.000000/1559682553.493105 [serial]    Write bool true [full]
         0.000000/1559682553.493122 [serial]    Write uint64 0 [pid]
         0.000000/1559682553.493126 [serial]    virtual bool EnumType::DoSerialize(SerialInfo*) const
         0.000000/1559682553.493128 [serial]       virtual bool BroType::DoSerialize(SerialInfo*) const
         0.000000/1559682553.493131 [serial]          virtual bool BroObj::DoSerialize(SerialInfo*) const
于 2019-06-04T21:10:46.693 回答