使用Bro收集有关当前流量的统计信息

Question

我想每10秒收集一次流量统计信息，我找到的唯一工具是connection_state_remove事件，

event connection_state_remove(c: connection)
{
        SumStats::observe( "traffic", [$str="all"] [$num=c$orig$num_bytes_ip] );
}

如何处理在此期间结束时未删除的连接。如何从中获取统计数据？

Answer 1

您正在处理的事件与SumStats框架报告统计信息的时间间隔无关。首先，您需要定义您真正关心的统计数据是什么-例如，您可能需要计算Bro在给定时间间隔内完成处理的连接数。其次，您需要定义时间间隔（在您的情况下为10秒）以及如何在SumStats框架中处理统计观察值。片段中缺少后一部分：您只是进行观察，而没有告诉框架该怎么做。

SumStats documentation中的示例与您要寻找的非常接近。