Detecção de Anomalias de Rede com Zeek

Quando Usar

• Implantação de monitoramento passivo de segurança de rede em pontos de estrangulamento chave para visibilidade contínua
• Geração de logs estruturados de conexões, DNS, HTTP, SSL e transferências de arquivos para ingestão em SIEM e caça a ameaças
• Criação de scripts Zeek personalizados para detectar ameaças específicas da organização, violações de políticas ou comportamento de beaconing
• Realização de análise retrospectiva de metadados de rede para investigar incidentes de segurança
• Complementar soluções de IDS com análise de metadados em nível de protocolo que ferramentas baseadas em assinatura podem não capturar

Não usar como substituto para IDS/IPS em linha que podem bloquear tráfego ativamente, para monitorar cargas criptografadas sem inspeção TLS, ou em endpoints onde agentes baseados em host são mais apropriados.

Pré-requisitos

• Zeek 6.0+ instalado a partir do código fonte ou gerenciador de pacotes (zeek --version)
• Interface de rede configurada em uma porta span, tap de rede ou espelho de switch virtual para captura passiva
• Armazenamento em disco suficiente para arquivos de log (estimar 1-5 GB/dia por 100 Mbps de tráfego monitorado)
• Familiaridade com a linguagem de script do Zeek para escrever detecções personalizadas
• Sistema de agregação de logs (Splunk, Elastic, Graylog) para análise centralizada

Fluxo de Trabalho

Passo 1: Instalar e Configurar o Zeek

# Install Zeek on Ubuntu/Debian
sudo apt install -y zeek

# Or install from source for latest version
git clone --recursive https://github.com/zeek/zeek
cd zeek && ./configure --prefix=/opt/zeek && make -j$(nproc) && sudo make install
export PATH=/opt/zeek/bin:$PATH

# Configure the monitoring interface
sudo vi /opt/zeek/etc/node.cfg

# /opt/zeek/etc/node.cfg
[zeek]
type=standalone
host=localhost
interface=eth1

# Configure local network definitions
sudo vi /opt/zeek/etc/networks.cfg

# /opt/zeek/etc/networks.cfg
10.0.0.0/8       Internal
172.16.0.0/12    Internal
192.168.0.0/16   Internal

# Disable NIC offloading for accurate packet capture
sudo ethtool -K eth1 rx off tx off gro off lro off tso off gso off

# Deploy Zeek
sudo zeekctl deploy

# Verify Zeek is running
sudo zeekctl status

Passo 2: Entender e Navegar pelos Logs do Zeek

# Zeek generates structured log files in /opt/zeek/logs/current/
ls /opt/zeek/logs/current/

# Key log files:
# conn.log       - All network connections (TCP, UDP, ICMP)
# dns.log        - DNS queries and responses
# http.log       - HTTP requests and responses
# ssl.log        - SSL/TLS handshake details
# files.log      - File transfers observed on the network
# notice.log     - Alerts from Zeek detection scripts
# weird.log      - Protocol anomalies and errors
# x509.log       - X.509 certificate details
# smtp.log       - SMTP email transactions
# ssh.log        - SSH connection details

# View connection log with zeek-cut for column selection
cat /opt/zeek/logs/current/conn.log | zeek-cut ts id.orig_h id.orig_p id.resp_h id.resp_p proto service duration orig_bytes resp_bytes

# View DNS log
cat /opt/zeek/logs/current/dns.log | zeek-cut ts id.orig_h query qtype_name answers

# View HTTP log
cat /opt/zeek/logs/current/http.log | zeek-cut ts id.orig_h host uri method status_code user_agent

Passo 3: Escrever Scripts de Detecção Personalizados

# Create a custom detection script directory
sudo mkdir -p /opt/zeek/share/zeek/site/custom-detections

Crie um script para detectar tunelamento de DNS:

# /opt/zeek/share/zeek/site/custom-detections/dns-tunneling.zeek
@load base/frameworks/notice

module DNSTunneling;

export {
    redef enum Notice::Type += {
        DNS_Tunneling_Detected,
        DNS_Long_Query
    };

    # Limite: número de consultas exclusivas por origem em uma janela de tempo
    const query_threshold: count = 200 &redef;
    const time_window: interval = 5min &redef;
    const max_query_length: count = 50 &redef;
}

# Rastreia contagens de consultas por IP de origem
global dns_query_counts: table[addr] of count &create_expire=5min &default=0;

event dns_request(c: connection, msg: dns_msg, query: string, qtype: count, qclass: count)
{
    local src = c$id$orig_h;

    # Verifica consultas de domínio incomumente longas (dados codificados em base64)
    if ( |query| > max_query_length )
    {
        NOTICE([
            $note=DNS_Long_Query,
            $msg=fmt("Consulta DNS incomumente longa de %s: %s (%d caracteres)", src, query, |query|),
            $src=src,
            $identifier=cat(src, query)
        ]);
    }

    # Rastreia o volume de consultas por origem
    dns_query_counts[src] += 1;


…