用途：使用 Zeek 作为被动网络安全监控器，对实时接口或离线 PCAP 流量做协议元数据记录与行为检测，辅助安全评估、事件响应、审计与安全控制验证。
主要能力：Zeek 支持实时抓包与离线分析，处理流程为抓包、事件引擎重组 TCP 流、脚本解释器处理事件、日志框架输出 TSV/JSON。可生成 conn.log、dns.log、http.log、ssl.log、files.log、notice.log、weird.log、x509.log、smtp.log、ssh.log 等协议日志。通过脚本语言可实现 DNS 隧道检测、C2 信标检测、SSH 暴力破解检测、SQLi 检测、JA3 指纹等；支持 Intel 框架加载恶意 IP、域名、哈希情报；可通过 Filebeat 输出到 ELK 等 SIEM。
使用方式：环境需 Linux（Ubuntu 22.04+ 或 CentOS 8+）、4 核 8GB 以上、网络 TAP 或 SPAN、Zeek 6.0+、抓包权限及 SIEM。安装可用 sudo apt-get install -y zeek 或添加 Zeek 仓库安装 zeek-lts，并用 zeek --version 验证。在 node.cfg 配置 manager/proxy/worker 集群，在 networks.cfg 定义内网网段，在 local.zeek 加载协议脚本、启用 JSON 日志、文件提取与告警，用 zeekctl deploy 部署，zeek -r capture.pcap local.zeek 离线分析，zeek-cut 提取字段。
适用场景：SOC 监控、事件响应、取证回溯、威胁狩猎与合规审计。
限制：资料未提供具体价格、授权与性能基准；实际部署需按流量规模扩展 worker，建议用 TAP 替代 SPAN 并监控丢包。