Bro (ปัจจุบันชื่อ Zeek) คืออะไร?
Zeek (เดิมชื่อ Bro) เป็นเฟรมเวิร์กโอเพนซอร์สสำหรับวิเคราะห์トラฟฟิกเครือข่าย (Network Traffic Analysis) ใช้ตรวจจับพฤติกรรมผิดปกติ (Behavioral Anomalies) เพื่อป้องกันการฉ้อโกงและปกป้องข้อมูล พัฒนาโดย Vern Paxson ตั้งแต่ปี 1995 ปัจจุบันดูแลโดย Corelight
ความสามารถหลัก
- รองรับ 35+ โปรโตคอล (Layer 3-7): HTTP, DNS, SSL/TLS, SSH, SMB, Kerberos, ฯลฯ
- สกัดข้อมูล 400+ ฟิลด์จากトラฟฟิกเครือข่าย
- สร้าง Log แบบ Transaction-based (conn.log, http.log, dns.log, ssl.log, ฯลฯ)
- มี Scripting Language เฉพาะ (Zeek Script) สำหรับกำหนดกฎตรวจจับเอง
- ทำงานแบบ Passive (Span Port / TAP) ไม่ส่งผลต่อประสิทธิภาพเครือข่าย
Zeek vs IDS/IPS
| คุณสมบัติ | Zeek (NSM) | IDS/IPS (เช่น Snort/Suricata) |
|---|---|---|
| การทำงาน | Passive Analysis, Logging | Signature/Anomaly Detection, Blocking |
| ข้อมูลที่ได้ | High-fidelity Transaction Logs | Alerts/Events |
| การป้องกัน | ไม่บล็อกโดยตรง (ต้องผูมเครื่องมืออื่น) | บล็อกได้ (IPS) |
| ใช้ร่วมกับ SIEM | เหมาะมาก (Log ระดับสูง) | ใช้ได้ (Alert-based) |
ทำไมเปลี่ยนชื่อจาก Bro เป็น Zeek?
เพื่อหลีกเลี่ยงความหมายที่อาจเข้าใจผิดของคำว่า "Bro" และสร้างแบรนด์ใหม่ที่ทันสมัย โลโก้แรงบันดาลใจจากการ์ตูน The Far Side ของ Gary Larson
เครื่องมือที่เกี่ยวข้อง
- Suricata: IDS/IPS/NSM โอเพนซอร์ส แพ็กเก็ตอินสเปกชันลึก (Deep Packet Inspection)
- Snort: IDS/IPS คลาสสิก ใช้กฎ berbasis Signature
- SIEM (Splunk, ELK, QRadar): รวม Log จาก Zeek เพื่อวิเคราะห์และแดชบอร์ด
กรณีการใช้งาน (Use Cases)
- Network Security Monitoring (NSM)
- Threat Hunting
- Incident Response & Forensics
- Compliance Auditing
- Performance Troubleshooting
