community-id-spec

Community ID 流哈希 在处理来自各种监控应用（如 Zeek 和 Suricata）的流数据时，通常希望 能够快速地从一份数据集切换到另一份。虽然所需的流元组信息通常都存 在于数据集中，但这种“关联（join）”的细节可能十分繁琐，尤其是在 边界情况下。本规范描述了“Community ID”流哈希，它将表示给定网络 流的字符串标识符的生成过程标准化，从而把这种切换简化为简单的字符 串比较。 伪代码 root@kitploit: function communityidv1ipaddr saddr, ipaddr daddr, port sport, port dport, i...

zeek-community-id

面向 Zeek 的 "Community ID" 流哈希 这个 Zeek 包提供对 Community ID 流哈希的支持，这是一种在网络监控器中标记流量流的标准化方式。加载该包后，它会在 conn.log 中添加一个 communityid 字符串字段。 注意 Zeek 6 及更高版本已包含 Community ID 支持。 使用这些 Zeek 版本时，您不再需要此包。 详情请参阅 相关文档。 该包实现了一个 BiF 来执行哈希逻辑，因此需要二进制编译，所以它同时也是一个 Zeek 插件。以下是一个生成的 conn.log 示例： root@kitploit: separator \x...