Filtrer les paquets avec la syntaxe du filtre de paquets de Berkeley

Recherchez des paquets avec la syntaxe du filtre de paquets Berkeley (BPF), seule ou en combinaison avec les filtres intégrés.

Les filtres de paquets Berkeley sont une interface brute avec les couches de liaison de données et constituent un outil puissant pour l'analyse de la détection des intrusions. La syntaxe BPF permet aux utilisateurs d'écrire des filtres qui explorent rapidement des paquets spécifiques pour en extraire les informations essentielles.

Le système ExtraHop construit un en-tête de paquet synthétique à partir des données d'index des paquets, puis exécute les requêtes de la syntaxe BPF par rapport à l'en-tête du paquet afin de s'assurer que les requêtes sont beaucoup plus rapides que l'analyse de la charge utile complète du paquet. Notez qu'ExtraHop ne prend en charge qu'un sous-ensemble de la syntaxe BPF (voir Syntaxe BPF prise en charge).

La syntaxe BPF consiste en une ou plusieurs primitives précédées d'un ou plusieurs qualificatifs. Les primitives consistent généralement en un ID (nom ou numéro) précédé d'un ou plusieurs qualificatifs. Il existe trois types de qualificateurs :

le type

Qualificatifs indiquant à quel type le nom ou le numéro de l'identifiant se réfère. Par exemple, host, net, port, et portrange. En l'absence de qualificatif, host est considéré comme tel.

dir

Qualificatifs indiquant une direction de transfert particulière vers ou à partir d'un ID. Les directions possibles sont src, dst, src and dst, et src or dst. Par exemple, dst net 128.3.

proto

Qualificatifs qui limitent la correspondance à un protocole particulier. Les protocoles possibles sont ether, ip, ip6, tcp et udp.