1. Установите сенсор и наблюдение
Зафиксируйте версию Zeek, точку capture, узел, интерфейс и период. Описание соответствует Zeek 9.0.1. conn.log охватывает наблюдаемую сетевую активность, включая не только TCP. Выясните, является ли файл JSONL или TSV с заголовками: одно расширение.log не определяет формат.
2. Отберите соединение
Читающий jq применим только к JSON-представлению. Начните с известного uid либо набора адресов, портов, протокола и времени. Сохраняйте контекст сенсора и исходную строку: uid удобно связывает журналы одного Zeek-наблюдения, но не равен идентификатору другого продукта. Адреса до и после NAT могут различаться между точками сети, поэтому условия отбора должны учитывать расположение сенсора.
3. Разберите пример по направлениям
В примере обмена originator 192.0.2.20:53000 обращается к responder 198.51.100.80:443. Поле service=ssl отражает распознавание анализатором, а не только предположение по 443. Показанные orig_bytes=850 и resp_bytes=12500 относятся к payload-счётчикам направлений. Не складывайте их с IP-байтами или количеством пакетов как одинаковые величины. Время ts обозначает начало наблюдаемого обмена.
4. Прочитайте состояние с оговорками
conn_state=SF описывает нормальное установление и завершение в модели наблюдения Zeek; оно не доказывает успешный HTTP-запрос или вход пользователя. Нулевой missed_bytes не даёт абсолютной гарантии полной видимости всего маршрута. Оцените duration, history и наличие ответного направления вместе с конфигурацией capture. При асимметрии сенсор может не видеть часть обмена.
5. Свяжите протокол и конечные узлы
По uid найдите соответствующие DNS/TLS/HTTP-записи, если они зарегистрированы. Затем сопоставьте адреса и время с журналом приложения, инвентаризацией и доступной аутентификацией узла. Для утверждения «кто» нужны эти сведения, а не один source IP. При сравнении с Suricata не приравнивайте uid и flow_id; используйте документированные совместные ключи только при известной настройке и дополнительном контексте.
6. Если записи нет
Проверьте точку наблюдения, capture-фильтр, период, ротацию, процесс доставки и формат файла. Уточните, проходил ли нужный трафик через этот участок и был ли сенсор работоспособен. Смена адресов NAT или неверный протокол также дают пустую выдачу. Запишите, какие проверки видимости выполнены; отсутствие conn.log-строки не доказывает, что узлы вообще не обменивались данными.