希望有人能帮我解决问题。我手头上有约30个Wireshark / pcap文件,需要分析其中是否存在恶意活动,以及网络是否受到任何形式的攻击。那么如何最好地检索这些文件呢?我的想法是将它们加载到一个数据库中。我知道这些pcap文件在导入数据库之前需要转换为csv格式。
那么,在Microsoft SQL和mySQL之间,哪一种数据库更适合用于导入CSV文件呢?
我无法回答你关于数据库的具体问题,但我可以就如何分析抓包文件以及如何使用现有的流行解决方案将其存入数据库提供建议。
如果你只需要基于签名的警报,我建议将你的PCAP文件读入到像Snort或Suricata这样的IDS中,并使用Barnyard输出到数据库后端。存在Web前端,如Snorby和Squert,用于搜索和分类警报。 许多流行的IDS引擎都可以轻松读入PCAP文件。
$ snort -r traffic.pcap
$ bro -r traffic.pcap
$ head http.log
1216691479.339424 kfuZwhwI5c6 192.168.1.64 41607 65.175.87.70 80 1 GET e.drugstore.com /a/hBIhP7YAbeh5-B7SEoEBNJqOT.AcGxgqbm/spacer.gif - Mozilla/5.0 (Macintosh; U; PPC Mac OS X 10_5_4; en-us) AppleWebKit/525.18 (KHTML, like Gecko) 0 43 200 OK - (empty) - - - image/gif - -
$ head dns.log
1216691468.360749 MCshRYLiesf 192.168.1.64 20128 192.168.1.254 53 udp 3217 ssl.google-analytics.com 1 C_INTERNET NOERROR F F T T 0 ssl-google-analytics.l.google.com,209.85.171.97 26636.000000,65.000000
$ head ssl.log
1216691467.672054 NdRPIIlKZaa 192.168.1.64 34050 74.125.19.103 443 TLSv10 TLS_RSA_WITH_RC4_128_SHA www.google.com 9fea36dc5f2dc0d7bbfac02cec7595cf130f638a69a671801be670353be0c687 - - - - -
$ head files.log
1396403999.886276 FIvzWp1ZUUnNJD9i6 192.168.1.64 65.175.87.70 CtuART1AUxrAifTqd4 HTTP 0 SHA1,MD5 image/jpeg - 9.956452 F F 728731 728731 0 0 F - 8cbf8f2e2713629fcd3ade0965e5e1f9 6ebfa114d86191eecb725c14f98b7c2a24a0cfa0 -
$ bro -r day1.pcap 'LogAscii::separator = ",";'
$ head http.log
$ tcpreplay -i eth0 *.pcap