Zeek-Parser-OmronFINS

English is here

概要

Zeek-Parser-OmronFINSとはOmron FINS/UDPを解析できるZeekプラグインです。

インストール

パッケージマネージャーによるインストール

このプラグインはZeek Package Manger用のパッケージとして提供されています。

以下のコマンドを実行することで、本プラグインは利用可能になります。

zkg refresh
zkg install zeek-parser-OmronFINS

マニュアルインストール

本プラグインを利用する前に、Zeek, Spicyがインストールされていることを確認します。

# Zeekのチェック
~$ zeek -version
zeek version 7.0.0

# Spicyのチェック
~$ spicyz -version
7.0.0
~$ spicyc -version
spicyc v1.11.0 (7ddf6ce4)

# 本マニュアルではZeekのパスが以下であることを前提としています。
~$ which zeek
/usr/local/zeek/bin/zeek

本リポジトリをローカル環境に git clone します。

~$ git clone https://github.com/nttcom-ic/zeek-parser-OmronFINS.git

使い方

パッケージマネージャーによるインストールの場合

以下のように本プラグインを使うことで omron_fins.log が生成されます。

zeek -Cr /usr/local/zeek/var/lib/zkg/clones/package/zeek-parser-OmronFINS/testing/Traces/test.pcap zeek-parser-OmronFINS

マニュアルインストールの場合

ソースコードをコンパイルして、オブジェクトファイルを以下のパスにコピーします。

~$ cd ~/zeek-parser-OmronFINS/analyzer
~$ spicyz -o omron_fins.hlto omron_fins.spicy omron_fins.evt
# omron_fins.hltoが生成されます
~$ cp omron_fins.hlto /usr/local/zeek/lib/zeek/spicy/

同様にZeekファイルを以下のパスにコピーします。

~$ cd ~/zeek-parser-OmronFINS/scripts/
~$ cp main.zeek /usr/local/zeek/share/zeek/site/omron_fins.zeek
~$ cp consts.zeek /usr/local/zeek/share/zeek/site/

最後にZeekプラグインをインポートします。

~$ tail /usr/local/zeek/share/zeek/site/local.zeek
...省略...
@load omron_fins

本プラグインを使うことで omron_fins.log が生成されます。

~$ cd ~/zeek-parser-OmronFINS/testing/Traces
~$ zeek -Cr test.pcap /usr/local/zeek/share/zeek/site/omron_fins.zeek

ログのタイプと説明

本プラグインを使うことでomron_fins.logとして出力します。

omron_fins.log の例は以下のとおりです。

#separator \x09
#set_separator	,
#empty_field	(empty)
#unset_field	-
#path	omron_fins
#open	2025-03-28-16-30-42
#fields	ts	uid	id.orig_h	id.orig_p	id.resp_h	id.resp_p	proto	data_type	destination_network_address	destination_node_number	destination_unit_address	source_network_address	source_node_number	source_unit_address	command_type	number	ts_end
#types	time	string	addr	port	addr	port	string	string	string	string	string	string	string	string	string	int	time
1736159106.716243	CMR1Cj2J87pBDJu7Va	2.2.2.2	55007	1.1.1.1	9600	udp	command	0x00	0x64	CPU Unit	0x00	0x01	CPU Unit	multiple_memory_area_read	10	1736159106.717982
1736159106.716463	CMR1Cj2J87pBDJu7Va	2.2.2.2	55007	1.1.1.1	9600	udp	response	0x00	0x01	CPU Unit	0x00	0x64	CPU Unit multiple_memory_area_read	10	1736159106.718071
#close	2025-03-28-16-30-42

関連ソフトウェア

本プラグインはOsecTで利用されています。