Fiche mémo

Journaux Zeek

Zeek transforme le trafic réseau en journaux structurés, un par protocole. La démarche d'analyse est dans Network Traffic Analysis.

CDSA CJCARéseau

Les journaux

Fichier	Contenu
conn.log	Une ligne par connexion : adresses, ports, protocole, durée, volumes
dns.log	Requêtes et réponses DNS
http.log	Requêtes HTTP : méthode, hôte, URI, user-agent, code de réponse
ssl.log	Sessions TLS : version, nom demandé (server_name), certificat
files.log	Fichiers vus sur le réseau, avec leurs hachés
x509.log	Certificats observés
ssh.log	Connexions SSH et résultat de l'authentification
smb_files.log	Fichiers lus ou écrits via SMB
notice.log	Alertes produites par les scripts Zeek
weird.log	Anomalies de protocole

# Analyser une capture : un fichier .log par protocole dans le dossier courant
zeek -C -r capture.pcap
# Choisir les colonnes
cat conn.log | zeek-cut id.orig_h id.resp_h id.resp_p service duration orig_bytes
# Destinations les plus contactées
cat conn.log | zeek-cut id.resp_h | sort | uniq -c | sort -rn | head

Champs de conn.log

Champ	Signification
uid	Identifiant de la connexion, repris dans les autres journaux
id.orig_h	Adresse de l'initiateur
id.orig_p	Port de l'initiateur
id.resp_h	Adresse du répondeur
id.resp_p	Port du répondeur
proto	Protocole de transport (tcp, udp, icmp)
service	Protocole applicatif détecté (http, dns, ssl…)
duration	Durée de la connexion
orig_bytes	Octets envoyés par l'initiateur
resp_bytes	Octets envoyés par le répondeur
conn_state	État de la connexion (S0, SF, REJ…)

Pivoter avec uidLe uid d'une connexion suspecte dans conn.log retrouve sa requête DNS, sa requête HTTP et les fichiers transférés dans les autres journaux.

États de connexion (conn_state)

État	Signification
S0	Tentative sans réponse (SYN seul)
S1	Connexion établie, pas encore terminée
SF	Connexion établie puis fermée normalement
REJ	Tentative rejetée (RST en réponse au SYN)
RSTO	Connexion coupée par l'initiateur (RST)
RSTR	Connexion coupée par le répondeur (RST)
OTH	Aucun SYN observé : connexion prise en cours de route

Ce qui doit alerterBeaucoup de S0 ou REJ depuis une même source : scan. Connexions régulières, de taille constante, vers une même destination : beaconing. orig_bytes très supérieur à resp_bytes : envoi de données, possible exfiltration.