Question

反正可以通过Bro / Zeek查看更多调试信息吗？到目前为止，这是我所知道的。

登录经理和工作人员（Stderr.log，Stdout.log）
broctl状态
broctl diag
broctl打印和＆peerstatus都挂起，因此对于调试没有用
broctl顶部

我的Bro安装有很多错误，但日志显示没有错。我假设存在一些隐藏的调试标志或其他内容，或者一些日志可以阐明一些问题，但是我找不到它们。

broctl peerstatus挂起，以及打印
stderr和stdout没有显示任何问题
只有日志是统计信息，报告程序，集群，代理，stderr和stdout
没有conn日志，或其他任何

我发现此链接与peerstatus挂起有关，这意味着有一种方法可以打开西兰花中的调试，只是不确定这是否正确。 http://mailman.icsi.berkeley.edu/pipermail/zeek/2016-December/011149.html

Answer 1

是的，如果您使用--enable-debug构建Zeek，那么还有一个附加的命令行选项可让您启用/禁用多个调试流：

$ zeek --help
...
-B|--debug <dbgstreams>        | Enable debugging output for selected streams ('-B help' for help)

$ zeek -B help

Enable debug output into debug.log with -B <streams>.
<streams> is a comma-separated list of streams to enable.

Available streams:
  serial
  rules
  state
  chunkedio
  string
  notifiers
  main-loop
  dpd
  tm
  logging
  input
  threading
  file_analysis
  plugins
  zeekygen
  pktio
  broker
  scripts

  plugin-<plugin-name>   (replace '::' in name with '-'; e.g., '-B plugin-Bro-Netmap')

Pseudo streams
  verbose  Increase verbosity.
  all      Enable all streams at maximum verbosity.

对于每个启用的流，您将在debug.log中找到相应的条目：

$ zeek -B all -r test.pcap
$ head debug.log
         0.000000/1559682553.492973 [zeekygen] Made ScriptInfo base/init-bare.zeek
         0.000000/1559682553.492997 [scripts] Loading /home/christian/inst/opt/zeek/share/bro//base/init-bare.zeek
         0.000000/1559682553.493094 [serial] Write bool true [true]
         0.000000/1559682553.493099 [serial] bool SerialObj::Serialize(SerialInfo*) const [0x3668000, new pid 0, tid 528948]
         0.000000/1559682553.493103 [serial] -- Caching
         0.000000/1559682553.493105 [serial]    Write bool true [full]
         0.000000/1559682553.493122 [serial]    Write uint64 0 [pid]
         0.000000/1559682553.493126 [serial]    virtual bool EnumType::DoSerialize(SerialInfo*) const
         0.000000/1559682553.493128 [serial]       virtual bool BroType::DoSerialize(SerialInfo*) const
         0.000000/1559682553.493131 [serial]          virtual bool BroObj::DoSerialize(SerialInfo*) const

Bro / Zeek调试日志？

1 个答案: