如何使用tshark或任何其他工具从现有的pcap文件中提取全套功能？

Question

我是网络流量分析的新手。

我使用了以下Tshark命令，但没有运气。

C：\\ Program Files \\ Wireshark> tshark -r C：\\ Users \\ Ravi \\ Desktop \\ IDS-augustdocuments \\ iscxdataset \\ testbed13jun.pcapCopy \\ split \\ small_00057_20100613213752.pcapeparator =，-R“ tcp.dat a” -T字段框架.nu​​mber -e appName -e totalSourceBytes> C：\\ Users \\ Ravi \\ Desktop \\ IDS-augustdocuments \\ iscxdataset \\ testbed13jun.pcapCopy \\ split \\ 18oct.csv tshark：“ =”在这种情况下是意外的。

任何建议提取功能的建议，例如Direction（针对流），totalSourceBytes，totalDestinationBytes，totalDestinationPackets，totalSourcePackets，sourceTCPFlagsDescription等。

Answer 1

是。 IDS兄弟或Argus兄弟（审核网络活动）。

阿格斯例子：

racluster -L0 -m proto -r filepcap.arg -s proto saddr daddr spkts dpkts sbytes dbytes

Proto            SrcAddr            DstAddr  SrcPkts  DstPkts     SrcBytes     DstBytes 
   udp     84.125.xxx.xxx            0.0.0.0     2634     2580       205131       317889
   tcp     84.125.xxx.xxx            0.0.0.0    34143    42585      6078099     48276978
   arp     84.125.xxx.xxx       84.xxx.xxx.x        3        3          126          180

最好的祝福，

Answer 2

您必须使用引号：
隔板= “”

Answer 3

我使用Bro IDS从conn.log文件中获取必填字段。 1）配置Bro IDS（按照此链接安装Bro IDS） https://www.digitalocean.com/community/tutorials/how-to-install-bro-ids-2-2-on-ubuntu-12-04 2）启动Bro ID。3）使用命令“ bro -r your pcap file.pcap”，这将在当前目录中生成.log文件。 4）检查诸如conn.log，dns.log，http.log等日志，以获取与pcap日志文件不同的信息。