網(wǎng)絡(luò)安全網(wǎng)絡(luò)IDS【免費(fèi)下載鏈接】zeekZeek is a powerful network analysis framework that is much different from the typical IDS you may know.項(xiàng)目地址https://gitcode.com/gh_mirrors/ze/zeek點(diǎn)擊查看免費(fèi)下載導(dǎo)讀Zeek 腳本層中的Option模塊提供了三個內(nèi)置函數(shù)讓腳本可以在運(yùn)行期間修改選項(xiàng)option的值并在選項(xiàng)值發(fā)生變更時收到通知。本文以 option.bif.zeek 的官方文檔 為核心骨架結(jié)合 src/option.bif 的 C 實(shí)現(xiàn)與 scripts/base/frameworks/config/main.zeek 的高層封裝完整講解Option::set、Option::set_change_handler與Option::any_set_to_any_vec的參數(shù)語義、返回值、處理器鏈機(jī)制與底層調(diào)用鏈幫助讀者掌握在 Zeek 中安全、正確地進(jìn)行運(yùn)行時選項(xiàng)管理的實(shí)戰(zhàn)方案。模塊概覽三個內(nèi)置函數(shù)與兩個命名空間option.bif對應(yīng)的 Zeek 腳本接口位于Option命名空間同時涉及GLOBAL命名空間官方文檔將其定位為Definitions of built-in functions that allow the scripting layer to change the value of options and to be notified when option values change.即該模塊專門負(fù)責(zé)修改選項(xiàng)值與監(jiān)聽選項(xiàng)值變更兩類能力。整個接口由三個函數(shù)組成與文檔中的函數(shù)總覽表一一對應(yīng)函數(shù)簽名作用Option::set(ID: string, val: any, location: string default optional) : bool將選項(xiàng)設(shè)置為新值并觸發(fā)變更處理器Option::set_change_handler(ID: string, on_change: any, priority: int default0 optional) : bool為選項(xiàng)注冊變更處理器Option::any_set_to_any_vec(v: any) : any_vec輔助函數(shù)將任意索引類型的集合set轉(zhuǎn)換為any元素向量該接口對應(yīng)的二進(jìn)制內(nèi)置函數(shù)BIF定義在倉庫根目錄的 src/option.bif含%gen-native指令的原生生成 BIF并通過 scripts/base/init-bare.zeek 中的load base/bif/option.bif在啟動時加載。Option::set修改選項(xiàng)值并觸發(fā)通知簽名與參數(shù)語義function Option::set(ID: string, val: any, location: string default): boolIDstring要更新的選項(xiàng)的標(biāo)識符全局 ID如Site::local_netsvalany選項(xiàng)的新值運(yùn)行時要求與選項(xiàng)聲明類型一致locationstring默認(rèn)可選描述本次變更來源的字符串用于審計(jì)與追溯返回值bool成功返回true出錯返回false。按官方文檔說明調(diào)用Option::set會同時觸發(fā)已注冊的變更處理器option change handlers且該函數(shù)只作用于單個節(jié)點(diǎn)不會把新值分發(fā)到集群各節(jié)點(diǎn)——這一限制在后續(xù)Config::set_value 高層封裝一節(jié)會詳細(xì)展開。源碼級實(shí)現(xiàn)類型校驗(yàn)與 Broker Data 互轉(zhuǎn)在 src/option.bif 中Option::set的 C 實(shí)現(xiàn)依次完成以下校驗(yàn)步驟理解這些步驟有助于預(yù)判腳本層的報(bào)錯行為ID 存在性檢查通過global_scope()-Find(ID)查找全局 ID找不到時報(bào)錯Could not find ID named %s并返回false值存在性檢查i-HasVal()為假時報(bào)錯ID %s has no value選項(xiàng)屬性檢查i-IsOption()為假時報(bào)錯ID %s is not an option——并非所有全局變量都是選項(xiàng)只有聲明為 option 的 ID 才能被修改類型兼容檢查若val是 Broker 的DataVal來自集群同步的數(shù)據(jù)則調(diào)用castTo()將其轉(zhuǎn)換為目標(biāo)選項(xiàng)類型轉(zhuǎn)換失敗會報(bào)Incompatible type for set of ID %s: got broker data %s, need %s直接類型匹配非 Broker 數(shù)據(jù)時要求same_type(i-GetType(), val-GetType())若選項(xiàng)類型為 table 且傳入的是未指定類型的空 table則會基于現(xiàn)有 table 的屬性做一次協(xié)變coerce否則報(bào)Incompatible type for set of ID %s: got %s, need %s。通過全部校驗(yàn)后最終調(diào)用內(nèi)部輔助函數(shù)call_option_handlers_and_set_value()src/option.bif完成值寫入。該函數(shù)是理解整個模塊的關(guān)鍵在zeek::run_state::terminating關(guān)停階段時直接返回false避免回調(diào)用到已銷毀的腳本資源若選項(xiàng)存在處理器HasOptionHandlers()則按注冊順序逐一調(diào)用每個處理器的參數(shù)個數(shù)決定是否追加第三個location參數(shù)參數(shù)列表大小為 3 時追加后一個處理器接收的是前一個處理器的返回值最終返回值通過i-SetVal(val-Clone())寫入Clone()防止外部修改破壞選項(xiàng)值若某個處理器返回空值則中斷鏈條并放棄本次修改。類型錯誤的實(shí)際觸發(fā)路徑從實(shí)現(xiàn)可以看出Option::set的失敗并非只依賴返回值判斷內(nèi)部通過zeek::emit_builtin_error產(chǎn)生 reporter 錯誤。在測試基線 testing/btest/Baseline/plugins.hooks/output 中可以看到運(yùn)行時真實(shí)調(diào)用記錄例如CallFunction(Option::set, frame, (Site::local_nets, {64:ff9b:1::.../15, ...}, skip-config-log))說明該函數(shù)在正常啟動流程中即被Config框架大量使用。Option::set_change_handler注冊變更處理器簽名與參數(shù)語義function Option::set_change_handler(ID: string, on_change: any, priority: int default0): boolIDstring需要接收變更通知的選項(xiàng) IDon_changeany變更時被調(diào)用的函數(shù)priorityint默認(rèn)0可選處理器優(yōu)先級高優(yōu)先級先調(diào)用返回值bool注冊成功返回true出錯返回false。處理器函數(shù)的簽名約束官方文檔對on_change回調(diào)函數(shù)做了嚴(yán)格規(guī)定這些約束在 C 實(shí)現(xiàn)中逐條強(qiáng)制校驗(yàn)可以接收2 個或 3 個參數(shù)第一個是包含ID的字符串第二個是新選項(xiàng)值第三個可選是Option::set傳入的location字符串調(diào)用時機(jī)處理器被調(diào)用時全局選項(xiàng)值尚未更新返回值語義處理器必須返回希望選項(xiàng)最終被設(shè)置為的值——因此它可以拒絕變更返回原值或改寫傳入的值鏈?zhǔn)秸{(diào)用同一選項(xiàng)的多個處理器形成鏈條后一個處理器看到的新值是前一個處理器的返回值優(yōu)先級排序priority越高的函數(shù)越先被調(diào)用優(yōu)先級相同時按注冊先后順序調(diào)用。對應(yīng) src/option.bif 的校驗(yàn)邏輯包括ID 必須存在且為選項(xiàng)on_change必須是函數(shù)TYPE_FUNC且 flavor 為普通function不能是 hook 或 event參數(shù)個數(shù)必須為 2 或 3第一個參數(shù)必須是string第二個參數(shù)類型必須與選項(xiàng)類型一致same_type(args[1], i-GetType())第三個參數(shù)若存在必須是string函數(shù)返回類型必須與選項(xiàng)類型一致。全部通過后通過i-AddOptionHandler(func, -priority)注冊——注意實(shí)現(xiàn)中優(yōu)先級取負(fù)值后加入從而保證數(shù)值越大越先執(zhí)行的語義。鏈?zhǔn)教幚砥髋c優(yōu)先級示例從 testing/btest/Baseline/plugins.hooks/output 的運(yùn)行時記錄可以看到同一個選項(xiàng)可以同時注冊多個處理器例如Site::local_nets上既有優(yōu)先級-100的Config::config_option_changed負(fù)責(zé)寫入 config.log又有優(yōu)先級-5的Site::update_local_nets_table負(fù)責(zé)維護(hù)本地網(wǎng)段表Weird::sampling_rate上同樣注冊了Config::config_option_changed與更高優(yōu)先級的Config::weird_option_change_count調(diào)用Reporter::set_weird_sampling_rate。這正是鏈?zhǔn)秸{(diào)用 優(yōu)先級排序的真實(shí)應(yīng)用。Option::any_set_to_any_vec集合到向量輔助轉(zhuǎn)換function Option::any_set_to_any_vec(v: any): any_vecvany一個對應(yīng)于集合set的any類型值返回值any_vec包含v中每個成員各一個元素的向量。該函數(shù)在 src/option.bif 中的實(shí)現(xiàn)非常直接先構(gòu)造vector of any的返回類型與向量值若入?yún)⒉皇羌?t-IsSet()則報(bào)錯argument is not a set并返回空向量否則通過AsTableVal()-ToListVal()取得成員列表并逐個Assign到結(jié)果向量。它主要用于把集合型選項(xiàng)轉(zhuǎn)換為統(tǒng)一類型的向量方便上層框架做遍歷或格式轉(zhuǎn)換。實(shí)戰(zhàn)視角Config::set_value 高層封裝與集群化為何 Option::set 之外還需要 Config::set_value官方文檔明確給出的 note 是Option::setonly works on one node and does not distribute new values across a cluster. The higher-levelConfig::set_valuesupports clusterization and should typically be used instead of this lower-level function.即單機(jī)場景可用Option::set但在集群部署時應(yīng)優(yōu)先使用 scripts/base/frameworks/config/main.zeek 中定義的Config::set_valuefunction set_value(ID: string, val: any, location: string default): bool它負(fù)責(zé)將變更廣播到集群并回寫本機(jī)。Config 框架如何構(gòu)建在 Option 之上從 scripts/base/frameworks/config/main.zeek 可以看到Config 框架在初始化時對大量選項(xiàng)統(tǒng)一執(zhí)行Option::set_change_handler(opt, config_option_changed, -100);其中config_option_changed是 Config 框架內(nèi)部定義的通用處理器它會檢查location跳過Config::location指定的來源避免重復(fù)記錄讀取舊值、新值并寫入Config::LOG最后返回new_value放行變更——對應(yīng)測試基線中的Config::config_option_changed: function(ID:string, new_value:any, location:string) : any{...}形態(tài)。這意味著所有經(jīng) Config 注冊的選項(xiàng)在變更時都會自動留下審計(jì)日志。而Config::set_value內(nèi)部最終會落到Option::set完成本機(jī)值寫入?yún)⒁?scripts/base/frameworks/config/main.zeek 的實(shí)現(xiàn)路徑并在集群模式下通過 Broker 同步到其他節(jié)點(diǎn)。此外 scripts/base/frameworks/config/input.zeek 中的輸入框架也會調(diào)用Config::set_value(id, value, source)說明配置文件/輸入流驅(qū)動的選項(xiàng)更新同樣經(jīng)由該鏈路。特定選項(xiàng)的精細(xì)化處理器除通用審計(jì)處理器外框架還會針對特定選項(xiàng)注冊專門的處理器例如 scripts/base/frameworks/config/weird.zeekOption::set_change_handler(Weird::sampling_whitelist, weird_option_change_sampling_whitelist, 5); Option::set_change_handler(Weird::sampling_threshold, weird_option_change_count, 5); Option::set_change_handler(Weird::sampling_rate, weird_option_change_count, 5); Option::set_change_handler(Weird::sampling_duration, weird_option_change_interval, 5);這些處理器在選項(xiàng)變更時同步更新底層 C 端狀態(tài)如Reporter::set_weird_sampling_rate(...)體現(xiàn)了腳本層選項(xiàng)變化 → 處理器 → 原生層狀態(tài)更新的典型聯(lián)動模式。腳本優(yōu)化器的識別與內(nèi)聯(lián)行為作為補(bǔ)充的源碼級細(xì)節(jié)src/script_opt/FuncInfo.cc 在優(yōu)化器Script Optimization中為這些內(nèi)置函數(shù)標(biāo)注了屬性O(shè)ption::any_set_to_any_vec標(biāo)記為ATTR_FOLDABLE常量折疊友好Option::set_change_handler標(biāo)記為ATTR_NO_SCRIPT_SIDE_EFFECTS無腳本側(cè)副作用便于編譯期分析同文件 src/script_opt/FuncInfo.cc 的注釋中亦出現(xiàn)Option::set相關(guān)的優(yōu)化處理。這表明Option模塊不僅提供運(yùn)行時能力其調(diào)用模式也被 Zeek 的 ZAM/CPP 后端納入優(yōu)化考量在熱路徑中可以獲得更好的執(zhí)行效率。使用建議與注意事項(xiàng)匯總單機(jī) vs 集群單機(jī)調(diào)試可直接使用Option::set集群環(huán)境務(wù)必使用Config::set_value否則新值不會同步到其他節(jié)點(diǎn)。處理器必須返回值on_change函數(shù)的返回值就是選項(xiàng)的最終值忘記返回會導(dǎo)致鏈條斷裂返回空值從而放棄變更想拒絕變更只需返回舊值。處理器的參數(shù)形態(tài)注冊時需保證回調(diào)函數(shù)參數(shù)個數(shù)為 2 或 3、第二個參數(shù)與選項(xiàng)類型一致否則Option::set_change_handler會返回false并產(chǎn)生 reporter 錯誤如Wrong number of arguments ... expected 2 or 3。類型一致性O(shè)ption::set對類型匹配要求嚴(yán)格非選項(xiàng) ID、類型不匹配、值缺失都會導(dǎo)致失敗空 table 的協(xié)變僅適用于未指定類型的空表場景。優(yōu)先級規(guī)劃需要后注冊先執(zhí)行或覆蓋默認(rèn)行為的場景可通過調(diào)整priority控制處理器順序同優(yōu)先級按注冊順序執(zhí)行。location 參數(shù)善用location字符串做變更來源追溯Config 框架已將其用于日志審計(jì)與來源去重跳過Config::location指定的來源。延伸閱讀接口文檔原文doc/scripts/base/bif/option.bif.zeek.rstBIF 源碼實(shí)現(xiàn)src/option.bifConfig 高層封裝scripts/base/frameworks/config/main.zeekWeird 選項(xiàng)處理器示例scripts/base/frameworks/config/weird.zeek優(yōu)化器屬性定義src/script_opt/FuncInfo.cc運(yùn)行時調(diào)用基線含Option::set與各選項(xiàng)注冊記錄testing/btest/Baseline/plugins.hooks/output贊分享網(wǎng)絡(luò)安全網(wǎng)絡(luò)IDS【免費(fèi)下載鏈接】zeekZeek is a powerful network analysis framework that is much different from the typical IDS you may know.項(xiàng)目地址https://gitcode.com/gh_mirrors/ze/zeek點(diǎn)擊查看免費(fèi)下載相關(guān)推薦FAST Components 中 optionStyles 深入解析為 Listbox Optionfast-option定制樣式與組件設(shè)計(jì)FAST Components 中 optionStyles 深入解析為 Listbox Optionfast option定制樣式與組件設(shè)計(jì) optio前端UI組件cube-ui Checkbox 復(fù)選框組件完全指南狀態(tài)、圖標(biāo)樣式與 option 配置深入解析cube ui Checkbox 復(fù)選框組件完全指南狀態(tài)、圖標(biāo)樣式與 option 配置深入解析 cube checkbox 是 cube ui基于 Vue前端UI組件移動開發(fā)Babel 插件與預(yù)設(shè)選項(xiàng)校驗(yàn)利器深入解析 babel/helper-validator-optionBabel 插件與預(yù)設(shè)選項(xiàng)校驗(yàn)利器深入解析 babel/helper validator option babel/helper validator op編譯器開發(fā)工具上一篇突破下載速度瓶頸Gopeed多連接直接下載終極指南下一篇解決ShareX屏幕錄制中GIF捕獲失敗的音頻設(shè)置問題創(chuàng)作聲明：本文部分內(nèi)容由AI輔助生成（AIGC），僅供參考