使用 Python 和 Zeek 可视化网络流量

2023-04-21 00:00:00 python 可视化 网络流量

要使用 Python 和 Zeek 可视化网络流量，首先需要安装 Zeek（以前称为 Bro）和相应的 Python 库。下面是一些步骤：

  1. 安装 Zeek：Zeek 是一个网络安全监控工具，可用于检测和记录网络流量。你可以在 Zeek 官网下载最新版本的安装包进行安装。

  2. 安装 Python 库：有许多用于可视化网络流量和处理 Zeek 日志的 Python 库。这里我们选择使用 Pandas 和 Matplotlib。你可以使用 pip 进行安装：

pip install pandas matplotlib
  1. 分析 Zeek 日志：Zeek 会生成各种日志文件，包括 conn.log、dns.log 和 http.log 等。你可以使用 Pandas 加载这些文件并将它们转换为 DataFrame。
import pandas as pd

conn_df = pd.read_csv("conn.log", sep="\t", comment="#", header=None)
conn_df.columns = [
    "ts",
    "uid",
    "id.orig_h",
    "id.orig_p",
    "id.resp_h",
    "id.resp_p",
    "proto",
    "service",
    "duration",
    "orig_bytes",
    "resp_bytes",
    "conn_state",
    "local_orig",
    "missed_bytes",
    "history",
    "orig_pkts",
    "orig_ip_bytes",
    "resp_pkts",
    "resp_ip_bytes",
    "tunnel_parents",
]
  1. 可视化网络流量：可以使用 Matplotlib 将 DataFrame 中的数据可视化。例如，下面的代码将绘制源地址为 “pidancode.com” 的连接的传输字节和接收字节曲线。
import matplotlib.pyplot as plt

pidancode_conn_df = conn_df[conn_df["id.orig_h"] == "pidancode.com"]
pidancode_conn_df.plot(
    x="ts", y=["orig_bytes", "resp_bytes"], figsize=(10, 6)
)
plt.title("Traffic from pidancode.com")
plt.xlabel("Time")
plt.ylabel("Bytes")
plt.show()
  1. 其他操作：除了上述步骤之外，还可以使用 Zeek 和 Python 进行其他操作，例如数据聚合、数据清洗和事件检测等。这些操作可以帮助你更好地理解网络流量并发现潜在的安全问题。

相关文章