activecm/zeek

activecm/zeek Docker镜像文档

镜像概述和主要用途

本镜像用于在Docker容器中运行单系统Zeek集群，基于blacktop/zeek:zeekctl但专注于通过zeekctl管理多个Zeek进程。它提供了一系列实用功能，简化Zeek集群的部署、配置和维护，适用于需要高效网络流量分析与监控的场景。

核心功能和特性

• 配置向导：可生成node.cfg集群配置文件
• 自动启动与诊断：启动时自动运行zeekctl，失败时打印诊断报告
• 进程监控：Cron定期检查并重启崩溃的Zeek进程
• 包管理支持：集成Zeek包管理器，方便安装插件
• 性能优化：默认安装并启用AF_Packet插件，通过ethtool禁用部分接口特性以提升性能

支持的Docker标签

标签对应镜像中安装的Zeek版本，Zeek当前有两个发布轨道：feature和lts。

• latest, 3.2, 3.2.1（feature轨道）
• lts, 3, 3.0, 3.0.10（lts轨道）

快速启动

前提条件

需先安装Docker。Linux系统可通过以下命令快速安装：

bash
curl -fsSL https://get.docker.com | sh -

其他系统请参考Docker官方安装指南。

基本使用

使用run.sh脚本快速启动Zeek：

bash
./run.sh

自定义日志和配置路径

bash
# 将日志存储在/opt/zeek/logs
./run.sh /opt/zeek/logs

# 将日志存储在/opt/zeek/logs，配置文件使用/opt/zeek/etc/node.cfg
./run.sh /opt/zeek/logs /opt/zeek/etc/node.cfg

自定义配置与使用

配置生成

若没有node.cfg文件，可通过以下命令生成：

bash
touch node.cfg
docker run --rm -it --network host \
    --mount source=$(pwd)/node.cfg,destination=/node.cfg,type=bind \
    activecm/zeek \
    zeekcfg -o /node.cfg --type afpacket

启动容器

bash
docker run --cap-add net_raw --cap-add net_admin --network host --detach \
    --name zeek \
    --restart always \
    --mount source=/etc/localtime,destination=/etc/localtime,type=bind,readonly \
    --mount source=YOURLOGS,destination=/usr/local/zeek/logs/,type=bind \
    --mount source=YOURCFG,destination=/usr/local/zeek/etc/node.cfg,type=bind \
    activecm/zeek

参数说明：

• YOURLOGS：主机系统中存储Zeek日志的绝对路径
• YOURCFG：node.cfg配置文件的绝对路径

示例：

bash
docker run --cap-add net_raw --cap-add net_admin --network host --detach \
    --name zeek \
    --restart always \
    --mount source=/etc/localtime,destination=/etc/localtime,type=bind,readonly \
    --mount source=$(pwd)/logs,destination=/usr/local/zeek/logs/,type=bind \
    --mount source=$(pwd)/node.cfg,destination=/usr/local/zeek/etc/node.cfg,type=bind \
    activecm/zeek

可自定义的挂载点

• /usr/local/zeek/logs/：Zeek日志归档目录
• /usr/local/zeek/spool/：Zeek日志临时目录（归档前的"当前"日志）
• /usr/local/zeek/etc/node.cfg：集群配置文件（需至少指定嗅探网络接口）
• /usr/local/zeek/etc/networks.cfg：内部网络范围定义（默认包含RFC1918网段）
• /usr/local/zeek/etc/zeekctl.cfg：zeekctl设置（如无专用嗅探接口，需禁用interfacesetup.enabled）
• /usr/local/zeek/share/zeek/site/local.zeek：Zeek脚本加载配置

停止容器

bash
docker stop zeek -t 90

说明：-t 90确保Zeek有足够时间轮转和归档日志（默认10秒可能导致日志丢失），日志较大时可适当延长时间。

更新镜像

bash
docker pull activecm/zeek
# 需重建容器使更新生效

安装插件

bash
# 容器必须处于运行状态
docker exec zeek zkg install ja3

问题诊断

• 启动失败：查看容器日志

  bash
  docker logs zeek
  

• 运行中问题：使用zeekctl诊断工具

  bash
  docker exec zeek zeekctl doctor
  

开发

开发文档位于镜像的docs/目录。

致谢

Dockerfile基于https://github.com/blacktop/docker-zeek/tree/master/zeekctl%E9%A1%B9%E7%9B%AE%E3%80%82