| 用途 | 结构化还原网络行为 |
|---|---|
| 日志 | conn / dns / http / ssl / files / notice |
关联键
| 日志 | 关注字段 | 联动方式 |
|---|---|---|
| conn | uid / 五元组 / 时长字节 | uid 串联同会话各协议日志 |
| dns | query / answers / rcode | 按域名找发起主机 |
| ssl | server_name / issuer / ja3 | 证书与指纹比对 |
先按 uid 串会话，再按域名/IP 跨会话聚合。
Zeek 日志体系速查
Zeek 把流量整理成 conn/dns/http/ssl/files 等结构化日志：按协议日志各查一层，交叉字段是 uid 与五元组。
易错点
- conn 只记元数据，载荷证据仍需对应 pcap
- 时钟与 pcap 采集点不一致时以 uid 为准对齐
数据来源与参考
- Zeek 文档（日志格式说明）