Zeek Nedir?

Zeek Nedir?

Zeek, ağ trafiğini analiz etmek ve ağ üzerindeki aktiviteleri detaylı şekilde izlemek için kullanılan açık kaynaklı bir network security monitoring (NSM) aracıdır. Özellikle güvenlik ekipleri, sistem yöneticileri ve ağ analistleri tarafından ağ üzerinde gerçekleşen aktiviteleri anlamak ve şüpheli davranışları araştırmak için kullanılabilir.

Zeek, geleneksel bir firewall veya saldırı önleme sistemi gibi trafiği doğrudan engelleyen aktif bir güvenlik aracı değildir. Bunun yerine ağ trafiğini pasif olarak izler, analiz eder ve elde ettiği bilgileri ayrıntılı log dosyaları şeklinde sunar.

Zeek Ne İşe Yarar?

Zeek'in temel amacı ağ üzerinde gerçekleşen iletişim hakkında ayrıntılı bilgi sağlamaktır. Ağ trafiğini analiz ederek hangi sistemlerin iletişim kurduğunu, hangi protokollerin kullanıldığını ve gerçekleşen bağlantıların çeşitli özelliklerini loglayabilir.

• Ağ trafiği analizi: Ağ üzerindeki bağlantıları ve iletişimi analiz eder.
• Güvenlik izleme: Şüpheli veya olağandışı ağ aktivitelerinin araştırılmasına yardımcı olur.
• Detaylı loglama: Ağ aktivitelerini yapılandırılmış log dosyaları halinde kaydeder.
• Protokol analizi: HTTP, DNS, SSL/TLS, SSH ve daha birçok protokol hakkında bilgi toplayabilir.
• Özelleştirilebilir yapı: Zeek'in script dili kullanılarak analiz ve izleme davranışları değiştirilebilir.
• SIEM entegrasyonu: Oluşturulan loglar harici güvenlik ve analiz sistemlerinde kullanılabilir.

Zeek Nasıl Çalışır?

Zeek, ağ trafiğinin bulunduğu bir noktaya yerleştirilen bir sensör gibi çalışır. Trafiği pasif olarak gözlemleyerek bağlantılar ve uygulama katmanı aktiviteleri hakkında çeşitli bilgiler çıkarır.

Örneğin Zeek bir ağ arayüzünü izlerken HTTP istekleri, DNS sorguları ve bağlantılar gibi farklı aktiviteleri analiz ederek bunlarla ilgili loglar oluşturabilir.

terminal

zeek -i en0 -C

Buradaki -i seçeneği izlenecek ağ arayüzünü belirtmek için kullanılır. Örnekte en0 ağ arayüzü izleniyor. -C seçeneği ise checksum hatalarının göz ardı edilmesini sağlar. Zeek'in resmi Quick Start dokümantasyonunda benzer bir canlı trafik izleme örneği bulunuyor.

Zeek Hangi Logları Oluşturuyor?

Zeek'in en önemli özelliklerinden biri ayrıntılı log üretmesidir. Varsayılan yapılandırmada farklı ağ aktiviteleri için çeşitli log dosyaları oluşturabilir.

Örneğin bir trafik analizi sırasında conn.log, http.log ve weird.log gibi log dosyaları oluşturulabilir. Bu dosyalar daha sonra güvenlik araştırmaları, olay analizi veya başka sistemlere veri aktarmak için kullanılabilir.

logs

conn.log
http.log
weird.log

Zeek Script Desteği

Zeek'i diğer ağ izleme araçlarından ayıran önemli özelliklerden biri kendi script diline sahip olmasıdır. Bu yapı sayesinde hazır analizlerin yanında kullanıcıya özel izleme ve tespit kuralları da geliştirilebilir.

Örneğin belirli bir HTTP isteği gerçekleştiğinde bilgi yazdıran basit bir Zeek scripti oluşturabilirsiniz:

example.zeek

event http_request(c: connection, method: string, original_URI: string, unescaped_URI: string, version: string)
{
	print fmt("HTTP request: %s %s", method, original_URI);
}

Bu script yapısı, Zeek'in ağ trafiği üzerinde gerçekleşen olaylara tepki verecek özel analizler geliştirmesine olanak sağlar.

Zeek IDS mi?

Zeek'i klasik anlamda bir IDS (Intrusion Detection System) olarak düşünmek yerine, daha geniş kapsamlı bir ağ trafiği analiz ve güvenlik izleme platformu olarak değerlendirmek daha doğru olur.

Zeek çeşitli saldırı ve anomali tespit senaryolarında kullanılabilir ancak temel gücü ağ trafiğinden yüksek kaliteli ve ayrıntılı veriler çıkarmasıdır. Bu veriler güvenlik analistleri tarafından incelenebilir veya SIEM gibi farklı sistemlere aktarılabilir.

Zeek Kimler İçin Faydalı?

Zeek özellikle ağ trafiği üzerinde detaylı görünürlük elde etmek isteyen teknik ekipler için tasarlanmıştır.

• Network yöneticileri
• Siber güvenlik analistleri
• Security Operations Center (SOC) ekipleri
• Sistem yöneticileri
• Incident Response ekipleri
• Ağ ve güvenlik araştırmacıları
• SIEM altyapısı kullanan güvenlik ekipleri

Zeek Ücretsiz mi?

Evet. Zeek açık kaynaklı bir projedir ve kaynak kodları GitHub üzerinden erişilebilir durumdadır. Projenin resmi sitesi ayrıca Zeek'i ücretsiz ve üretim ortamlarında kullanılabilecek açık kaynaklı bir ağ güvenlik izleme aracı olarak tanımlıyor.

Sonuç

Zeek, ağ üzerinde gerçekleşen aktiviteleri ayrıntılı şekilde gözlemlemek, analiz etmek ve kayıt altına almak isteyen kullanıcılar için güçlü bir açık kaynaklı network monitoring aracıdır.

Firewall gibi trafiği doğrudan engellemek yerine ağ aktiviteleri hakkında ayrıntılı veriler üretmesi, script desteği ve farklı protokolleri analiz edebilmesi Zeek'i özellikle siber güvenlik ve ağ analizi alanında kullanışlı hale getiriyor.

Zeek'i denemek isteyen kullanıcılar için resmi sitede dokümantasyon, indirme bağlantıları ve doğrudan tarayıcı üzerinden kullanılabilen Zeek Playground da bulunuyor.

Buradan Zeek | Dokümantasyon | GitHub | Zeek Playground adreslerine ulaşabilirsiniz.