Zeek
Zeek (Netzwerk-Monitor)
Zeek
Zeek ist ein quelloffener Netzwerk-Sicherheitsmonitor, der den Verkehr nicht primär nach Signaturen durchsucht, sondern ihn in reichhaltige, strukturierte Protokolle übersetzt — wer wann mit wem über welches Protokoll kommunizierte. Diese Metadaten sind die Grundlage für Analyse, Threat Hunting (proaktive Bedrohungssuche) (Threat Hunting) und Netzwerkforensik. Zeek ist auf große Netze und Dauerbetrieb ausgelegt.
Historie & Fakten. Zeek (früher Bro) verfolgt einen anderen Ansatz als ein klassisches IDS: Statt nur auf bekannte Angriffsmuster zu reagieren, erzeugt es aus dem Verkehr detaillierte, durchsuchbare Protokolle und eine eigene Skriptsprache erlaubt maßgeschneiderte Auswertungen. So entsteht ein dauerhaftes, kontextreiches Abbild der Netzaktivität, das sich auch rückblickend untersuchen lässt.
Ausblick & Empfehlung. Die von Zeek erzeugten Metadaten sind besonders wertvoll, weil sie auch dann aussagekräftig bleiben, wenn Inhalte verschlüsselt sind — Verbindungsmuster, Häufigkeiten und Gegenstellen verraten viel. In Kombination mit Suricata (IDS/IPS/NSM) (Suricata) (Signaturerkennung) und einer zentralen Auswertung entsteht eine leistungsfähige Netzbeobachtung (Netzwerk-Erkennung und -Reaktion (NDR)/NSM), die NEOSEC gerade dort einsetzt, wo Endpunkt-Agenten nicht möglich sind — etwa in Betriebstechnik (OT)- und Medizin-IT-Umgebungen. Voraussetzung bleibt, dass die Protokolle zentral und ausreichend lange vorgehalten werden.