兄弟：只记录一个流

Question

我的目标是 运行 像 bro --iface <interface> 这样的命令，并且只得到 conn.log，但我无法从 Bro 文档或联机帮助页中得知如何执行此操作。

谢谢。

Answer 1

这让你前进：

bro -i <interface> -b base/protocols/conn

使用 -b 时，您在 "bare mode," 中启动 Bro，这意味着它不会加载标准脚本集。人们会使用这种模式默认禁用所有内容，只选择性地启用某些分析。通常，您可以在命令行上提供随 Bro 发行版一起提供的任意脚本列表。在这种情况下，我展示了它与生成 conn.log.

的脚本一起工作