用途：在关键网络节点部署被动网络安全监控，持续获取可见性；生成结构化连接、DNS、HTTP、SSL 与文件传输日志，供 SIEM 接入和威胁狩猎；编写自定义 Zeek 脚本检测组织特定威胁、策略违规或信标行为；对网络元数据做回溯分析以调查安全事件；以协议级元数据补充基于签名的 IDS。
主要能力：Zeek 6.0+ 生成 conn.log、dns.log、http.log、ssl.log、files.log、notice.log、weird.log、x509.log、smtp.log、ssh.log 等日志；zeek-cut 提取列；zeekctl 部署与管理；Notice、SumStats、Intel 框架支持告警、阈值统计与威胁情报匹配；可加载协议分析器、文件提取与 JSON 日志输出。
使用方式：安装 Zeek（如 sudo apt install -y zeek 或源码编译），在 node.cfg 配置监控接口、networks.cfg 定义本地网段，关闭网卡卸载后执行 sudo zeekctl deploy 并查看状态。用 zeek-cut 查询日志，在 site/custom-detections 下编写脚本（如 DNS 隧道、信标检测），通过 local.zeek 加载后重新部署。可配置 JSON 日志并用 Filebeat 转发至 Elasticsearch，配合 cron 轮转与 zeekctl 健康检查。
适用场景：企业出口或核心交换镜像口的高吞吐监控、C2 信标与 DNS 隧道检测、SSH 暴力破解与异常证书识别、SIEM 集中分析与事件响应。
限制：不能替代可主动阻断流量的内联 IDS/IPS；未做 TLS 检查时无法监控加密载荷；端点场景更适合主机代理；需足够磁盘（约每 100 Mbps 每天 1-5 GB）、CPU 与调优阈值，否则易丢包或误报；需排除 CDN 与云服务 IP 段。具体收费、价格与平台信息暂未提供。