Brim 使用笔记

转载请注明来源:https://1990day.com/skills/brim_note.html

image

一、简介

Brim是一款由美国供应商Brim Security开发并开源的流量分析工具,可以轻松处理非常大的数据包捕获(pcap)文件。

Brim由多个开源组件构建而成,包括:结构化日志查询引擎zq;用于多平台用户界面的Electron和React;以及从数据包捕获文件生成网络分析数据的Zeek。

二、安装

该软件支持 Win / Mac os ,下载安装即可使用。

官方下载地址:https://www.brimsecurity.com/download/

三、面板

image

四、语法

常用查询

IP

    目的IP:
id.resp_h=


源IP:
id.orig_h=

协议

语句:_path

例:
_path="SSL"

_path="http"

关联

语句:and 
例:查询所有目的ip 192.168.1.30 的http日志 
id.resp_h=192.168.1.30 and http

排除

语句:not
例:流量数据日志中出现大量web扫描日志,我要排除404无效的http请求
not status_code=404

裸词:

需要查询数据中包含 “login” 或者 “admin” ,又或者只需要看http的请求,那么直接输入“关键词”进行查询。

查询:

 login

结果呈现如下,日志查询结果均包含login:

image

通配符:

要查找关键词之间或旁边可能包含任意字符串的值,可以使用一个或多个glob-style 的通配符。

例如,搜索查找包含Web服务器主机名的事件,这些域名中包含字母cdn,例如www.cdn.amazon.comwww.herokucdn.com

查询:

*163.com

结果呈现如下,日志查询结果均包含163.com的所有子域结果:

image

比如我要查询包含163 这个字符相近的域名呢?

查询:

www.*163*.com

它可能会出来很多近似结果,当然这取决于你的数据日志中是否包含这些域名:

www.163-services.com
www.163e.com
www.1633.com
www.163apis.com

字段/值 匹配

可以缩小搜索范围,使其仅包括在特定字段中包含特定值的事件。例如,以下搜索将仅匹配指定字段指定值,该字段uid被设置为精确值ChhAfsfyuz4n2hFMe

查询:  uid=CRqfPB2CsOdqyYSYM7

输出了精确的查询结果:

image

比较/筛选

除了通过=测试等式之外,还可以使用其他常见的比较操作符 !=、<、>、<=和=>。

例如,下面的搜索查找传输了许多字节的连接

查询:

 orig_bytes > 1000000

输出:

image

查询字节大于 1000000 的结果。

比较查询可以从大量相同特征中查询不一样特征的数据,便于快速定位分析。

其他更多的搜索语法可以参考 :

https://github.com/brimsec/zq/

最后编辑于
©著作权归作者所有,转载或内容合作请联系作者
  • 序言:七十年代末,一起剥皮案震惊了整个滨河市,随后出现的几起案子,更是在滨河造成了极大的恐慌,老刑警刘岩,带你破解...
    沈念sama阅读 213,417评论 6 492
  • 序言:滨河连续发生了三起死亡事件,死亡现场离奇诡异,居然都是意外死亡,警方通过查阅死者的电脑和手机,发现死者居然都...
    沈念sama阅读 90,921评论 3 387
  • 文/潘晓璐 我一进店门,熙熙楼的掌柜王于贵愁眉苦脸地迎上来,“玉大人,你说我怎么就摊上这事。” “怎么了?”我有些...
    开封第一讲书人阅读 158,850评论 0 349
  • 文/不坏的土叔 我叫张陵,是天一观的道长。 经常有香客问我,道长,这世上最难降的妖魔是什么? 我笑而不...
    开封第一讲书人阅读 56,945评论 1 285
  • 正文 为了忘掉前任,我火速办了婚礼,结果婚礼上,老公的妹妹穿的比我还像新娘。我一直安慰自己,他们只是感情好,可当我...
    茶点故事阅读 66,069评论 6 385
  • 文/花漫 我一把揭开白布。 她就那样静静地躺着,像睡着了一般。 火红的嫁衣衬着肌肤如雪。 梳的纹丝不乱的头发上,一...
    开封第一讲书人阅读 50,188评论 1 291
  • 那天,我揣着相机与录音,去河边找鬼。 笑死,一个胖子当着我的面吹牛,可吹牛的内容都是我干的。 我是一名探鬼主播,决...
    沈念sama阅读 39,239评论 3 412
  • 文/苍兰香墨 我猛地睁开眼,长吁一口气:“原来是场噩梦啊……” “哼!你这毒妇竟也来了?” 一声冷哼从身侧响起,我...
    开封第一讲书人阅读 37,994评论 0 268
  • 序言:老挝万荣一对情侣失踪,失踪者是张志新(化名)和其女友刘颖,没想到半个月后,有当地人在树林里发现了一具尸体,经...
    沈念sama阅读 44,409评论 1 304
  • 正文 独居荒郊野岭守林人离奇死亡,尸身上长有42处带血的脓包…… 初始之章·张勋 以下内容为张勋视角 年9月15日...
    茶点故事阅读 36,735评论 2 327
  • 正文 我和宋清朗相恋三年,在试婚纱的时候发现自己被绿了。 大学时的朋友给我发了我未婚夫和他白月光在一起吃饭的照片。...
    茶点故事阅读 38,898评论 1 341
  • 序言:一个原本活蹦乱跳的男人离奇死亡,死状恐怖,灵堂内的尸体忽然破棺而出,到底是诈尸还是另有隐情,我是刑警宁泽,带...
    沈念sama阅读 34,578评论 4 336
  • 正文 年R本政府宣布,位于F岛的核电站,受9级特大地震影响,放射性物质发生泄漏。R本人自食恶果不足惜,却给世界环境...
    茶点故事阅读 40,205评论 3 317
  • 文/蒙蒙 一、第九天 我趴在偏房一处隐蔽的房顶上张望。 院中可真热闹,春花似锦、人声如沸。这庄子的主人今日做“春日...
    开封第一讲书人阅读 30,916评论 0 21
  • 文/苍兰香墨 我抬头看了看天上的太阳。三九已至,却和暖如春,着一层夹袄步出监牢的瞬间,已是汗流浃背。 一阵脚步声响...
    开封第一讲书人阅读 32,156评论 1 267
  • 我被黑心中介骗来泰国打工, 没想到刚下飞机就差点儿被人妖公主榨干…… 1. 我叫王不留,地道东北人。 一个月前我还...
    沈念sama阅读 46,722评论 2 363
  • 正文 我出身青楼,却偏偏与公主长得像,于是被迫代替她去往敌国和亲。 传闻我的和亲对象是个残疾皇子,可洞房花烛夜当晚...
    茶点故事阅读 43,781评论 2 351