随着网络攻击日益复杂，对数据包捕获进行分析成为网络安全的重要组成部分。本文将介绍如何使用 Security Onion 的工具来分析数据包捕获，并从中提取和检查潜在的恶意文件。
Security Onion 简介
Security Onion 是一款开源的 Linux 发行版，专为入侵检测、网络监控和日志管理设计。它集成了多个开源工具，如 Elasticsearch、Logstash、Kibana、Snort、Suricata、Zeek（前称 Bro）、Sguil 和 Squert。这些工具共同构成了一个强大的网络安全监控平台。
导入数据包捕获
Security Onion 包含了一些示例数据包捕获（pcap 文件），位于 /opt/samples 目录下。要导入这些文件，有三种方法：tcpreplay、so-replay 和 so-import-pcap。例如，要使用 so-replay 命令导入 fake_av.pcap 文件，可以在终端窗口中输入以下命令：$ sudo so-replay fake_av.pcap。
分析警报
导入数据包捕获后，可以使用 Squert 来查看由 Snort 生成的警报。Squert 是一个可视化工具，可以查询和查看事件数据，并通过元数据和时间序列表示提供额外的上下文。在 Squert 中，可以查看所有事件，并通过改变视图来以不同的格式显示事件，从而更容易解释数据包和元数据。通过 Summary 视图，可以立即发现可能存在的命令和控制木马（CnC）活动，以及大量流量来自特定 IP 地址。
结尾：
对于运维和网络工程师来说，掌握使用 Security Onion 分析数据包捕获的技能至关重要。这不仅有助于及时发现和响应潜在的网络威胁，还能提高网络安全防护水平。通过本文的介绍，读者可以了解到如何利用 Security Onion 的工具进行数据包捕获分析，为实际工作提供参考。
原文: APNIC Blog（2019-07-09）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog