【发布时间】：2020-03-23 22:02:45
【问题描述】：
我正在测试 Zeek/Bro 在检测不同类型的隐写术方面的能力。现在使用 ICMP 协议后，我正在尝试检查 TCP 协议。我想检测 TCP 中的保留位是否在 TCP 事件的帮助下发生了变化。不幸的是没有成功。
是否可以使用 Zeek 检查 TCP 保留位？
【问题讨论】：
【发布时间】：2020-03-23 22:02:45
【问题描述】：
不是开箱即用的，不。添加它的一种方法是在本地构建中扩展TCP_Flags class，以便它也捕获TCP 标头的th_x2 字段位。然后，使用报告标志的tcp_packet 事件。
不过，这会很慢，因为它是数据包级别的分析。
【讨论】：