如何使用 tshark 或任何其他工具从现有 pcap 文件中提取全套特征？答案

【问题标题】：How to extract full set of features from an existing pcap file using tshark or any other tool?如何使用 tshark 或任何其他工具从现有 pcap 文件中提取全套特征？
【发布时间】：2016-01-17 05:18:08
【问题描述】：

我是网络流量分析的新手。

我使用了以下 Tshark 命令，但没有运气。

C:\Program Files\Wireshark>tshark -r C:\Users\Ravi\Desktop\IDS-augustdocuments\iscxdataset\testbed13jun.pcapCopy\split\small_00057_20100613213752.pcap separator=, -R "tcp.dat a" -T fields frame.number -e appName -e totalSourceBytes > C:\Users\Ravi\Desktop\IDS-augustdocuments\iscxdataset\testbed13jun.pcapCopy\split\18oct.csv tshark：“=”在这种情况下是出乎意料的。

任何提取特征的建议，如方向（用于流）、totalSourceBytes、totalDestinationBytes、totalDestinationPackets、totalSourcePackets、sourceTCPFlagsDescription 等。

【问题讨论】：

C:\Program Files\Wireshark>tshark -r C:\Users\Ravi\Desktop\IDS-augustdocuments\iscxdataset\testbed13jun.pcapCopy\split\small_00057_20100613213752.pcap -T fields -e ip. src > C:\output.txt 这个命令有效。我已经对此进行了尝试和测试，但我需要的是 appName、Direction（L2L、L2R 等流的）、totalSourcePackets 等字段。

标签： wireshark pcap feature-extraction tshark

【解决方案1】：

是的。 Bro IDS 或 Argus（审计网络活动）。

阿格斯示例：

racluster -L0 -m proto -r filepcap.arg -s proto saddr daddr spkts dpkts sbytes dbytes

Proto            SrcAddr            DstAddr  SrcPkts  DstPkts     SrcBytes     DstBytes 
   udp     84.125.xxx.xxx            0.0.0.0     2634     2580       205131       317889
   tcp     84.125.xxx.xxx            0.0.0.0    34143    42585      6078099     48276978
   arp     84.125.xxx.xxx       84.xxx.xxx.x        3        3          126          180

最好的问候，

【讨论】：

@Alfon ，我会试试这个，让你知道。谢谢。
@Alfon，我尝试使用链接 nsmwiki.org/index.php?title=Argus#Getting_Started 在 Ubuntu 14.04 上安装和配置 Argus。但我无法让阿格斯运行。看起来我有一些依赖问题。是否有相同的详细安装指南？
我使用 Bro IDS 从 conn.log 文件中获取必填字段。配置 Bro IDS，使用命令“bro -r ”并检查 conn.log、dns.log、http.log 等日志以获取 pcap 日志文件中的不同信息。下面是字段。 ts uid id.orig_h id.orig_p id.resp_h id.resp_p proto 服务持续时间 orig_bytes resp_bytes conn_state
@Ravi: sudo apt-get install argus-server argus-client 或阅读：qosient.com/argus/downloads.shtml 我的博客中关于 Argus 的更多信息-> seguridadyredes.wordpress.com/category/argus

【解决方案2】：

你必须使用引号：
分隔符=","

【讨论】：

【解决方案3】：

我使用 Bro IDS 从 conn.log 文件中获取必填字段。 1) 配置 Bro IDS （点击此链接安装 Bro IDS） https://www.digitalocean.com/community/tutorials/how-to-install-bro-ids-2-2-on-ubuntu-12-04 2) 启动兄弟 ID 3）使用命令“bro -r your pcap file.pcap”，这将在当前目录中生成一个.log文件。 4) 检查 conn.log、dns.log、http.log 等日志，以获取 pcap 日志文件中的不同信息。

【讨论】：