Brim：網絡數據包分析神器 - 網安 - 專業的網絡安全產業、社區、知識平臺

相信各位做流量分析和應急響應的朋友經常需要使用WireShark進行網絡流量包分析，比如NTA的全流量包，但不得不說，一旦數據包過大，日志條目過多，加載就變得異常緩慢，分析起來也是特別麻煩，WireShark也會顯得力不從心。而最近，我了解到Brim神器，在試用過之后，覺得真是懶人的福音，所以特來介紹給大家。

Brim的官方網站：https://www.brimsecurity.com/

Brim被打包成桌面應用，和Slack一樣用Electron構建，免費，開源。安裝后，你可以用Brim打開一個PCAP包，它將把PCAP包轉換成ZNG格式的Zeek日志。通過Brim可以搜索日志，也可以協同WireShark來深入分析來自特定流量的數據包。目前Brim僅支持桌面端搜索，將來也會支持云端，集群搜索功能。

大家一般都是使用WireShark來解析特定的流量或協議。但是，WireShark如上所述，有個不得不面對的問題，如果加載的是一個巨大的PCAP包，并需要針對這個PCAP包進行分析，那就會非常痛苦了。而有了Brim，你可以快速地加載巨大的PCAP包，并可以立即開始搜索，且在幾秒鐘內得到響應，當你發現需要刻意分析的流量條目時，還可以直接解析到WireShark來進行分析。一個多GB的PCAP包一般會提煉出幾百MB的ZNG日志，用Brim搜索起來很輕松。

安裝是非常簡單的，我們從官網下載https://www.brimsecurity.com/download/后雙擊允許即可，并沒有復雜的安裝界面和配置界面，打開直接可以使用。

Brim載入Pcap包之后，會以KV的結構顯示所有數據內容，每一個BLOCK塊均為一個鍵名=鍵值，比如截圖中所示，”CbLZFm13mbz1BVuu88”是鍵名為”uid”的鍵值，使用鼠標懸停到鍵名的位置即可看到鍵名。

每一個值均對應了一個鍵名，當想要搜索的時候，可以簡單的直接輸入鍵名或者通過K=V的方式輸入匹配的鍵值對，那么搜索的結果更加準確，快速。

Brim的界面沒有太多可以設置的需要，也非常簡單，不需要花時間去對菜單進行一一解釋了。我們以實戰者的角度來使用Brim進行數據分析.

那么我們先來看看如何在Wireshark里面查找DHCP流量中的主機信息

任何在網絡中產生流量的主機都應該有三個標識符：MAC地址、IP地址和主機名。

在大多數情況下，可疑活動的警報是基于IP地址的。如果你捕獲到了網絡流量的完整數據包，那么在內部 IP 地址上檢索的 pcap 包應該會顯示相關的 MAC 地址和主機名。

我們如何使用Wireshark找到這樣的主機信息呢？我們對兩種類型的活動進行過濾，DHCP或NBNS。DHCP流量可以幫助識別連接到網絡中的幾乎所有類型的計算機的主機。NBNS流量則主要由運行Microsoft Windows的計算機或運行MacOS的蘋果主機產生。我們先試用DHCP過濾流量包數據。