moloch1.8.0简单操作手册
moloch1.8.0简单操作手册
- Sessions 页面:Sessions主要通过非常简单的查询语言来构建表达式追溯数据流量,以便分析。
- SPIView 页面:
- SPIGraph页面:SPIGraph 将以流量趋势图的方式展示指定字段的流量情况。除了直接在 SPIGraph 界面中选择字段,也可以在Sessions 及 SPIView 界面进行指定要查看的字段,通过 SPIGraph 选项跳转至本界面。
- Connections页面:Connections 用于直观的展示源节点与目的节点的关系。
- Files页面:Files 显示已捕获的 pcap。
- Stats页面:Stats 为 Moloch 状态信息。在 Moloch 维护及故障排除方面有较大帮助。
- History页面:History 可以查看用户的历史操作记录,并支持对历史操作的重现。
- Settings页面:Settings 可对当前登录账号各项信息进行配置。
- Users页面:Users 负责用户管理。可进行添加、删除用户,也可对已有用户的权限进行限制。
1. Sessions页面
1.1 搜索栏————输入过滤表达式,点击 search 进行检索
1.1.1 字符串搜索
在Moloch中,字符串字段是特殊的,因为它们可以以几种不同的方式搜索。当字段被索引时,它们的大小写可能是标准化的,也可能不是标准化的,这在下面的fields表中有记录。字符串搜索的类型有:
- 通配符:
如果表达式中出现*,则假定使用通配符匹配。支持的通配符是*,它匹配任何字符序列(包括空字符),以及?,它匹配任何单个字符。
通配符查询针对全文字符串运行,如果字段启用大小写规范化,则在大小写规范化之后运行。
例如http.uri == "www.f*k.com"将捕获http.uri字符串,它包含www.fork.com或www.frack.com。 - 正则表达式:
正则表达式查询必须被前斜杠包围,并且始终被锚定。这意味着您几乎总是希望包含一个开头和结尾。
在regex查询中。regex查询在字段的大小写规范化(如果启用)之后针对全文字符串运行。
例如http.uri = = /.* www \ .f.* k \ com.* /。它使用不支持大多数PCRE特性的Lucene regex实现。 - 列表:
在Moloch中,列表被用作执行多个或查询的快速方法。
例如,协议== [http,ssh]。该查询将搜索包含http或ssh的任何会话。
注意:包含通配符或正则表达式字符串的列表将作为普通字符串处理,而不是通配符和正则表达式。
1.1.2 IP搜索
IP搜索非常灵活,可以使用完整的IP地址、部分IP地址或CIDR表示来执行。
对于包含端口号的字段,可以使用冒号(ip4)或点(ip6)跟踪任何IP表示,然后使用端口号进一步细化查询。端口也是一级搜索,可以直接搜索。
例如:ip == 1.2.3.4/24:80。该查询将搜索所有包含1.2.3.4/24 CIDR范围内的IP地址的会话,并在会话期间使用端口80。
IP搜索也可以使用IP列表来完成,这些IP可能是混合表示的:ip == [1.2.3.4,1.3/16]。
1.1.3 数字搜索
除了默认的=和not =查询类型之外,数值字段还支持简单的范围操作符。例如,要显示传输的字节小于10000的事件,可以使用以下查询:bytes <= 10000。
数值字段还使用列表支持简单的或查询。例如,port == [80,443,23]。
1.1.4 日期搜索
(1)除了默认的=和not =之外,Date字段还支持简单的范围操作符。例如:starttime == "2004/07/31 05:33:41"。
(2)还使用列表支持简单的或查询。例如:stoptime ==["2004/07/31 05:33:41","2004/07/31 06:33:41"]。但是,使用搜索栏下的时间限制控件要容易得多,如下:
(3) 使用Splunk语法支持相对日期和可选的快照。
--------以加号(+)或减号(-)开头的字符串表示当前时间的偏移量。
--------用数字和单位定义时间量。支持的时间单位为:
- 秒:s, sec, sec, second, seconds
- 分钟:m, min, minute, minutes
- 小时:h, hr, hrs, hour, hours
- 天: d, day, days
- 周:w, week, weeks
- 月:mon, month, months
- 季度:q, qtr, qtrs, quarter, quarters
- 年: y, yr, yrs, year, years
1.1.5 字段存在查询
检查一个字段在会话中是否存在或者不存在使用:存在某字段,field==EXISTS!,或者否定存在某字段,field!=EXISTS!。
例如,为了验证一个证书没有签发者常用名但是具有一个签发者组织名称,那么应该使用:cert.issuer.cn != EXISTS! && cert.issuer.on == EXISTS!
1.1.6 例子
找出会话中涉及俄罗斯(RU)或者中国(CN),并且使用端口号80且主机名中包含“COM”的会话:(country == RU || country == CN) && port == 80 && host == *com
找出会话类型为"text/plain",涉及加拿大(CA),包含少于20个数据包的会话: tags == "http:content:text/plain" && country == CA && packets < 20
1.1.7 应用&创建默认过滤
经预先设置后,将指定的条件作为默认过滤。
a. 创建一条规则,与 IP 172.18.20.220 相关 TCP数据。
b. 点击 “New View” 可以添加新的默认过滤条件。可设置默认过滤名称及相应过滤表达式。
1.2 时间边界
搜索栏下的控件包含时间范围选择。
1.2.1 设置回溯区间:如最后一个小时、最后一天等,点击 “Search”,查询数据。
1.2.2 设置回溯时间段:开始框允许选择开始时间/日期------结束框允许选择结束时间/日期,点击 “Search”,查询数据。
1.2.3 边界框:用于选择应用时间边界的位置(最后一个包、边界、会话重叠、数据库)。
- First Packet:按选中的区间,在会话显示面板按时间正序显示捕获的会话。
- Last Packet:按选中的区间,在会话显示面板按时间倒序显示捕获的会话。
- Bounded:过滤出已完成的会话数据。
- Session Overlaps: 过滤出已捕获到第一个包,还未接捕获最后一个包(即:会话正在进行)的会话数据。
- Database:按会话写入数据库的时间进行显示(有一定延迟,可能是在收到最后一个包的几分钟后)。
1.2.4 流量趋势:显示单位时间内流量趋势。(默认为小时)
1.3 会话显示与流量视图
1.3.1 会话显示: 设置 Sessions 页面显示会话数。(页面默认显示50条会话)
1.3.2 分页:每个页面选择框的分页控制和记录都在时间范围输入下找到,并允许用户导航返回的会话。将鼠标悬停在每页文本的记录上,以获取关于搜索了多少条目的更多信息。
1.3.3 流量面板:展示了实时监控趋势。
- 用户可以点击“+”或“-”放大镜,快速缩小或放大被观察的时间窗口
- sessions(会话)、packets(包)、databytes(字节)为三种展现形式
- 可选择以折线图(Lines)或柱状图(Bars)来展示流量趋势
1.3.4 源&目的:在地图中展示通信双方的地理位置
- S(source country)
- D(destination country)
1.4 会话数据信息(很重要)
会话数据信息,在深入研究会话数据中可以观察到的内容之前,请注意列配置按钮。通过单击此按钮,分析师可以选择他们希望观察的任何字段,而无需通过将其作为列添加到表中来完全打开会话。在这个盒子里,预测式打字也适用。示例:分析人员仅通过分析人员的搜索查询调查可疑的IRC会话。该分析人员决定只显示开始时间、结束时间、Src IP、Src端口、Dst IP、Dst端口、IRC通道和IRC昵称,而不是深入每个会话。这个列选择工具允许分析人员随时查看对他们很重要的信息,每个调查都可以配置这些信息。
1.4.1 显示列信息
点击以上页面选中的项,可将想要在页面中显示的字段应用为列。
1.4.2 自定义列信息: 点击旁边的按钮,可将经选择后展示在页面中的列形成一条配置,并进行命名。
可以看到除了默认配置(Moloch Default)之外,还定制了名为“IP Protocol”的配置,就是将刚刚上面选择的保存为自定义列信息, 方便后续直接应用。
通过查看 “Settings” 面板中的 “Column Configs” 条目,可以清楚的看到默认配置与 “IP Protocol” 配置的区别,即选择默认配置时将多出一列 “info” 信息。
1.4.3 显示完整的会话信息:
(1)点击每条会话前的 '+',将显示完整的会话信息。
(2)点击 “Download Pcap” 或下拉 “Action” 菜单,选中 “Export Pcap” 即可下载该数据包。
(3)所有字段名均带有下拉菜单
以上图HTTP为例,对 5 项操作进行说明(单击每一项就能显示具体信息):
- Export Unique Method(显示支持的HTTP方法):POST、GET、HEAD、PUT、OPTIONS
- Export Unique Method with counts(对选中区间内各HTTP请求方法进行计数):GET, 23444、POST, 23330、HEAD, 189、PUT, 33、OPTIONS, 2
- Open Method SPI Graph(在SPIGraph界面对各HTTP请求方法进行统计)
- Toggle Method column(将Request Method应用为列)
- Toggle Method in info column(将本次请求详细内容显示在info列中)
1.5 保存数据包---下箭头
下箭头按钮包含几个选项:
- 导出所需会话数据的PCAP。
- 查看器中的数据也可以导出为CSV,以供进一步查看和操作。
- 可以从分析人员的查询检测到的会话中添加或删除标记。然后,可以使用标记==“blah”语句收回这些事件。
- 将选定的数据发送到另一个系统进行进一步分析。
2. SPIView页面
SPI(会话概要信息)视图用于深入分析人员希望进一步研究的会话的特定指标。
分析师可以将鼠标悬停在SPI视图中的字段值上,将特定的项目作为AND或而不是添加到查询中,而不是手工编写查询。该页面还允许分析人员快速查看用户感兴趣的每个项目的计数。
例如,如果分析人员希望查看在当前时间窗口中记录的所有基本授权头,那么分析人员可以打开http折叠项并单击以启用 http-authorization字段。然后,分析人员可以更新他们的搜索查询,以包含已观察到的特定授权字符串,或者使用通配符查看所有特定类型的授权头(Basic *、承载器*等)。
此外,SPI视图允许分析人员在时间窗口内快速查看观察到的IP地址、http响应代码、IRC NICKs/ channel等等。
3. SPIGraph页面
SPIGraph 将以流量趋势图的方式展示指定字段的流量情况。
除了直接在 SPIGraph 界面中选择字段,也可以在Sessions 及 SPIView 界面进行指定要查看的字段,通过 SPIGraph 选项跳转至本界面。
4. Connections页面
连接页面用于直观的展示源节点与目的节点的关系,允许用户基于所选择的源节点和目标节点查看树的强制图。使用这种方法可以直观地确定关系。
例如,将您的Src节点设置为IP - Src,将Dst节点设置为IP - Dst:port,您将能够可视化源IP地址与目标IP地址/端口组合的关系。那些喜欢直观地分析会话数据的人可能会严重依赖这些图表。此页面的默认设置可以在设置页面中设置。
5. Files页面
文件页显示已写入的pcap的表视图。详细资料包括:档案编号,节点,文件名,文件是否被锁定,第一个日期和文件大小。
6. Stats页面
Stats 界面为 Moloch 状态信息。在 Moloch 维护及故障排除方面有较大帮助。
6.1 Capture Graphs
Capture Graphs 选项卡显示了当前网卡的实时捕获的会话数。(实际使用方法不清楚,页面说明中提到使用时需要将浏览器像素宽调整到1500+...)
6.2 Capture Stats
Capture Stats 选项卡中为当前捕获节点详细信息。可通过列配置下拉框选择在该页面显示的字段,下图对默认信息进行了说明。
字段说明:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 |
|
6.3 ES Nodes
ES Nodes 选项卡中为 ES 节点信息。可通过列配置下拉框选择在该页面显示的字段。
字段说明:
1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 |
|
6.4 ES索引
ES indexes选项卡显示一个表,其中包含每个Elasticsearch索引的信息。请使用列配置下拉框更改显示的字段。
字段说明:
1 2 3 4 5 6 7 8 9 10 11 12 |
|
6.5 ES Tasks
ESs任务选项卡显示一个表,其中包含每个Elasticsearch任务的信息。
字段说明:
1 2 3 4 |
|
6.6 ES Shards
ES Shards 选项卡中为索引与节点分片的对应关系。每个单元格描述该索引在该特定节点中的shard数量。灰色表示它是一个可选的shard,另一种颜色表示它是一个主shard。悬停在单元格上以获取更多信息。
6.7 ES Recovery
ES Recovery 选项卡中为ES任务信息(Recovery 是指将一个索引的未分配 shard 分配到一个结点的过程。)。可通过列配置下拉框选择在该页面显示的字段。
7 History页面
History 可以查看用户的历史操作记录,并支持对历史操作的重现。
普通用户只能查看自己的操作,而管理员可以查看所有用户的操作。
1 2 3 4 5 6 7 8 |
|
9 Settings 界面
Settings 界面可对当前登录账号各项信息进行配置,具体细节如下:
9.1 General ------一般常规设置选项卡
1 2 3 4 5 6 7 8 9 |
|
9.2 Views 选项卡-----用户可在此界面添加、更新、删除过滤规则。(具体用法已在Sessions部分说明)
9.3 Cron Queries选项卡-----设置定时任务,每隔一段时间会在 Sessions 界面执行定义好的过滤语句。(执行时相对会话有90s延迟,确保会话已完全传输)
9.4 Column Configs选项卡------对 Sessions 页面显示的列信息进配置。(具体用法已在Sessions部分说明)
9.5 SPI View Configs-----对 SPI View 界面进行检索的字段进行配置。(具体用法已在SPI View部分说明)
9.6 Themes选项卡-----用户可以选择自己喜欢的配色方案
9.7 Password选项卡----用户更改密码
9.8 Notifiers选项卡----配置可添加到cron查询的通知程序(如邮件)。
10 USER
Users 页面负责用户管理。可进行添加、删除用户,也可对已有用户的权限进行限制。
作者:CARLOS_CHIANG
出处:CARLOS_KONG - 博客园
本文版权归作者和博客园共有,欢迎转载,但未经作者同意必须保留此段声明,且在文章页面明显位置给出原文链接。
moloch1.8.0简单操作手册相关推荐
- Win7操作系统下安装Visual C++6.0详细操作手册(亲验有效)
Win7操作系统下安装Visual C++6.0详细操作手册(亲验有效) 一.所需软件及下载地址: Visual C++6.0(win7适用版) https://download.csdn.net/d ...
- 除了SVN,还可以使用的文档管理工具--TFS; 使用VS2010连接TFS的使用说明和简单操作手册
TFS(Taobao File System)是一个高可扩展.高可用.高性能.面向互联网服务的分布式文件系统,功能强大,可用于管理代码和文档,功能可粗暴视为git+svn,也可以简单用做文档管理,相当 ...
- 橘子CPS联盟小程序操作手册2.0
橘子CPS联盟小程序操作手册2.0 步骤1.申请小程序 2.橘子CPS联盟申请绑定小程序3.添加渠道活动4.发布小程序5.购买卡密 1.申请小程序 微信官方申请小程序 https://mp.weixi ...
- 视易精通收银服务器自动关机,视易精通量贩式收银系统操作-手册3.0.doc
视易精通量贩式收银系统操作-手册3.0 ~ ~~~ 视易精通 收银管理系统 {用户操作手册} 目录 TOC \o "1-3" \h \u HYPERLINK \l _Toc2376 ...
- 终于写完了!PyCharm操作手册 V1.0版本
给大家推荐一下我朋友阿亮,最近写的PyCharm操作手册 以下为第三人称 之前有很多新手同学问我,有没有PyCharm的相关教程.我开始觉得这只是个工具,用多了自然就会,所以也没有太在意.直到有一天又 ...
- 中铁成本2.0系统服务器地址,中国中铁项目成本管理信息系统V2.0(电化版)操作手册.docx...
中国中铁项目成本管理信息系统V2.0(电化版)操作手册 中国中铁工程项目成本管理信息系统V2.0(电化局专版)操作手册 PAGE \* MERGEFORMAT233 目录 TOC \o "1 ...
- ibm x系列服务器操作手册,IBM_X系列服务器操作手册v1.0.doc
IBM_X系列服务器操作手册v1.0 IBM X系列服务器操作手册 PAGE PAGE 1 IBM X系列服务器 操作手册 Ver. 1.0 蓝色快车 武汉二站 肖涵 2008/7/6 目 录 TOC ...
- 新中大软件SE+16.0操作手册账务和报表(也适合Gsoft和G3软件)
新中大SE+16.0操作手册账务和报表_02.jpg
- linux 调出mq程序,MQ6.0操作手册
MQ6.0操作手册 MQ6.0的安装 本次试验是在Fedora Core 4.0虚拟机下,是首次安装MQ. 安装的MQ软件包为WMQv600Trial-x86_linux_2.tar.gz. 安装要求 ...
最新文章
- golang log4go 使用说明及丢失日志原因
- ZedGraph怎样在双击图形后添加箭头标记
- 殊途同归的策略梯度与零阶优化
- 移动测试架构演进 | 蚂蚁金服自动化用例管理探索
- 随机加解密java_JAVA随机数生成 Math.random和java.util.Random使用简介
- 计算机主机温度,计算机的理想工作温度和湿度分别是多少
- plsql存储过程修改后怎么保存_分布式基础-存储引擎
- 第四代双模5G旗舰:vivo X30系列为啥「超有梗」?
- 二叉树中序遍历的下一个节点
- 基于asp网上书店购物商城计算机毕业设计网站作品
- mysql基础之数据库变量(参数)管理
- axios post方式同时传递pram和json参数
- Docker部署homeassitant
- Java 生成数字证书系列(四)生成数字证书(续)
- windows terminal使用管理员权限打开
- Java---登录页面及其接口的实现
- 如何解决服务器证书不受信任,pycharm 如何跳出服务器证书不受信任的提示
- C++primer学习:关于upper_bound和lower_bound的探究.
- 二次型,标准型,规范型
- 解决VS中提示信息没有自动选中首选项的问题