unified2

unified2 является чисто Python анализатор для IDS (думаю, что [Snort] (http://snort.org)) unified2 двоичного формата журнала.
Модуль позволяет обрабатывать бревна IDS в двоичном формате "unified2" в объекты Python.
Это не решает правил идентификаторы и не предназначено, чтобы быть заменой для barnyard2 или сам Snort в этой роли.
Основная цель заключается в получении пакетной передачи данных из журнала, связанных с некоторыми частности срабатывает (и решены / вход отдельно с помощью других средств, например, alert_syslog или alert_csv фыркают модулей) правило, так что я не уделял много внимания к метаданным обработки событий.
Модуль не имеет C компоненты и не использовать ctypes, так должно быть достаточно портативный, чтобы не-CPython реализации языка.
Формат
Определение Формат происходит от Snort заголовков (SRC / sfutil / Unified2_common.h) с помощью pyclibrary модуля и кэшируются в unified2 / _format.py файла.
Новые определения (например, если были добавлены новые типы данных) может быть сгенерирован с помощью команды тот же сценарий на Unified2_common.h фырканье в:
& NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; BZR филиала LP: pyclibrary
& NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; CD pyclibrary
& NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; питон ... / unified2 / _format.py ... / snort-2.XYZ/src/sfutil/Unified2_common.h
Установка
Это регулярное пакет для Python 2.7 (не 3.X).
Использование PIP является лучшим способом:
& NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; % Пункт установить unified2
Если у вас нет, используйте:
& NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; % Easy_install пип
& NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; % Пункт установить unified2
В качестве альтернативы см также:
& NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; % Локон https://raw.github.com/pypa/pip/master/contrib/get-pip.py | питон
& NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; % Пункт установить unified2
Или, если вы абсолютно необходимо:
& NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; % Easy_install unified2
Но, вы действительно не должны этого делать.
Текущая-мерзавец версия может быть установлена ​​так:
& NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; % Пункт установить Git '-e: //github.com/mk-fg/unified2.git#egg=unified2 "
Использование
Простой пример:
& NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; импорт unified2.parser
& NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; для эв, ev_tail в unified2.parser.parse ('/ вар / войти / нюхать / snort.u2.1337060186'):
& NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; Печать «Событие: ', Е.В.
& NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; если ev_tail: «хвоста Событие: 'печати, ev_tail
Объект события здесь в Dict метаданных и "хвост", который может быть либо капля или аналогичный рекурсивно анализируются кортеж метаданных Dict и "хвост" (например, для UNIFIED2_EXTRA_DATA).
Интерфейс unified2.parser.Parser лучше всего иллюстрируется на unified2.parser.read функции:
& NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; парсер, buff_agg = Parser (), ''
& NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; в то время как True:
& NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; любитель = parser.read (SRC)
& NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; если не полировать: сломать # EOF
& NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; buff_agg + = положительный эффект
& NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; & NBSP; в то время как True:
                        buff_agg, EV = parser.process (buff_agg)
                        если эв Нет: перерыв
                        Выход EV
Идея здесь в том, что метод Parser.read следует назвать потоком (например, объект-файл), возвращаясь, однако многие байт парсер должен получить следующую распознаваем кусок данных (один пакет, в случае журнал u2) или что-то можно прочитать на данный момент, пустая строка, как правило, свидетельствует о EOF или, может быть, неблокирующем читать возвращения.
Parser.process то следует назвать с накопленным (по Parser.read называет) буфера, возвращая первый пакет, который не может быть разобран оттуда (или нет, если буфер не является достаточно большим) и остальные (не разобранный) буфер данных.

Требования

• Python