更新：只记录一个流

Question

我的目标是运行bro --iface <interface>之类的命令并获取conn.log，但我无法从Bro文档或手册页中知道如何执行此操作。

谢谢。

Answer 1

这使你担忧：

bro -i <interface> -b base/protocols/conn 

随着-b您在启动兄弟“裸模”，这意味着它不会加载一套标准的脚本。人们可以使用这种模式来默认禁用所有功能，只有选择性地启用某些分析。一般而言，您可以在命令行上提供随Bro配置文件一起提供的任意脚本列表。在这种情况下，我将其显示为生成conn.log的脚本。