Realizando Análise de Tráfego de Rede com Zeek

Visão Geral

Zeek (anteriormente Bro) é um framework de análise de rede de código aberto que opera como um monitor passivo de segurança de rede. Ao contrário das ferramentas tradicionais de IDS baseadas em assinaturas, o Zeek gera logs estruturados de alta fidelidade a partir do tráfego de rede observado, capturando metadados detalhados para protocolos como HTTP, DNS, TLS, SSH, SMTP, FTP e dezenas de outros. A linguagem de script extensível do Zeek permite lógica de detecção personalizada, análise comportamental e resposta automatizada. Esta habilidade abrange a implantação do Zeek, a compreensão de sua arquitetura de log, a escrita de scripts de detecção personalizados e a integração de saídas com plataformas SIEM.

Quando Usar

• Ao conduzir avaliações de segurança que envolvem a realização de análise de tráfego de rede com Zeek
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes de segurança ou atividades de auditoria agendadas
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Servidor Linux (Ubuntu 22.04+ ou CentOS 8+) com 4+ núcleos de CPU e 8GB+ de RAM
• TAP de rede ou porta SPAN configurada para captura de tráfego
• Zeek 6.0+ instalado (via gerenciador de pacotes ou compilação de código fonte)
• Privilégios de root ou de grupo de captura para captura de pacotes
• Plataforma SIEM (Splunk, ELK Stack ou QRadar) para ingestão de logs

Conceitos Principais

Arquitetura do Zeek

O Zeek opera em dois modos principais:

1. Captura ao Vivo - Monitora o tráfego em tempo real em uma ou mais interfaces de rede
2. Análise Offline - Processa arquivos PCAP salvos para análise retrospectiva

O pipeline de processamento consiste em:

• Camada de Captura de Pacotes - Lê pacotes brutos de interfaces ou arquivos PCAP
• Motor de Eventos - Recompõe fluxos TCP e gera eventos de protocolo
• Interpretador de Scripts - Executa scripts Zeek que processam eventos e geram logs
• Framework de Log - Grava logs estruturados em formatos TSV, JSON ou personalizados

Arquitetura de Log

O Zeek gera arquivos de log específicos do protocolo:

Fluxo de Trabalho

Etapa 1: Instalar e Configurar o Zeek

# Install Zeek on Ubuntu
sudo apt-get install -y zeek

# Or install from Zeek repository
echo 'deb http://download.opensuse.org/repositories/security:/zeek/xUbuntu_22.04/ /' | \
    sudo tee /etc/apt/sources.list.d/zeek.list
sudo apt-get update && sudo apt-get install -y zeek-lts

# Verify installation
zeek --version

Configure o layout do nó em /opt/zeek/etc/node.cfg:

[manager]
type=manager
host=localhost

[proxy-1]
type=proxy
host=localhost

[worker-1]
type=worker
host=localhost
interface=eth0
lb_method=pf_ring
lb_procs=4

[worker-2]
type=worker
host=localhost
interface=eth1
lb_method=pf_ring
lb_procs=4

Configure as definições de rede em /opt/zeek/etc/networks.cfg:

# Internal network ranges
10.0.0.0/8         Private RFC1918
172.16.0.0/12      Private RFC1918
192.168.0.0/16     Private RFC1918

Etapa 2: Configurar Logging e Saída

Edite /opt/zeek/share/zeek/site/local.zeek:

# Carrega scripts de detecção padrão
@load base/protocols/conn
@load base/protocols/dns
@load base/protocols/http
@load base/protocols/ssl
@load base/protocols/ssh
@load base/protocols/smtp
@load base/protocols/ftp

# Carrega análise de arquivos
@load base/files/hash-all-files
@load base/files/extract-all-files

# Carrega frameworks de detecção
@load base/frameworks/notice
@load base/frameworks/intel
@load base/frameworks/files
@load base/frameworks/software

# Carrega analisadores de protocolo adicionais
@load policy/protocols/ssl/validate-certs
@load policy/protocols/ssl/log-hostcerts-only
@load policy/protocols/ssh/detect-bruteforcing

…