本书深入介绍流量安全分析工具Zeek，内容涵盖环境搭建、工具安装、基础应用和Zeek脚本编程等多个方面。同时，本书还结合网络安全工作中的实际需求向读者展示以Zeek为基础快速搭建一套相对完整的流量分析体系的过程。
全书共分3部分：第1部分（第1章）着重介绍网络流量分析在网络安全工作中的重要意义，以及一个完整流量分析体系的大致框架；第2部分（第2～5章）为基础篇，着重介绍Zeek的基本功能及使用方法，并在第5章中通过6个示例向读者展示Zeek在实际场景中的运用；第3部分（第6～8章）为进阶篇，重点介绍使用Zeek时需要了解的脚本编程内容及相关功能框架，并在第8章中通过示例向读者展示如何将一个流量分析目标最终落地成可运行的Zeek脚本。
本书适合作为信息安全从业人员、流量分析相关工作者的工具书，同时可供对Zeek或流量分析领域感兴趣的开发人员、广大科技工作者和研究人员参考。

高勇，CISA、CISSP、CISP、PMP、ISO27001LA认证专家，先后在华为、平安等头部企业从事信息安全工作，当前主要聚焦在金融数据安全领域。同时也是一个Geek，热衷于钻研各种安全技术，并乐此不疲。

第1章 网络流量与网络安全
1.1 网络与安全
1.2 流量与网络
1.3 流量分析
1.4 经验与总结
基础篇
第2章 Zeek介绍
2.1 Zeek是什么
2.2 Zeek的特点
2.2.1 部署使用
2.2.2 内置功能
2.2.3 开发语言
2.3 Zeek的功能架构
2.4 Zeek的应用场景
2.5 Zeek的版本与相关资源
2.6 经验与总结
第3章 搭建环境
3.1 本书运行环境
3.1.1 安装VirtualBox
3.1.2 创建虚拟机
3.1.3 安装Ubuntu Desktop操作系统
3.1.4 优化运行环境
3.1.5 配置网络
3.2 从外部源安装Zeek
3.3 从源代码安装Zeek
3.4 运行Zeek
3.5 经验与总结
第4章 认识与使用Zeek
4.1 目录结构
4.2 zeek命令与zeekctl命令
4.2.1 zeek命令
4.2.2 zeekctl命令
4.3 分析日志（logging)
4.3.1 日志的功能
4.3.2 日志的存储
4.4 conn.log日志文件
4.4.1 uid字段
4.4.2 orig、resp与local等字段
4.4.3 conn_state与history字段
4.5 加载脚本
4.6 zeek-cut工具
4.7 zeekygen工具
4.8 btest框架
4.9 经验与总结
第5章 基础应用示例
5.1 发现网络资产
5.2 网络扫描
5.3 SSH暴力破解
5.4 SQL入
5.5 文件解析
5.6 可视化分析
5.7 经验与总结
进阶篇
第6章 Zeek脚本
6.1 “Hello World！”程序
6.2 基本语法
6.3 运算符(operator)
6.3.1 算术运算符
6.3.2 逻辑运算符
6.3.3 关系运算符
6.3.4 位运算符
6.3.5 赋值运算符
6.3.6 其他运算符
6.4 数据类型(types)
6.4.1 int、count、double数据类型
6.4.2 bool数据类型
6.4.3 enum数据类型
6.4.4 string数据类型
6.4.5 time、interval数据类型
6.4.6 pattern数据类型
6.4.7 port、addr、subnet数据类型
6.4.8 set、vector、table数据类型
6.4.9 record数据类型
6.4.10 file数据类型
6.4.11 opaque数据类型
6.4.12 function、event、hook数据类型
6.4.13 any数据类型
6.5 声明（declarations）
6.5.1 module、export声明
6.5.2 global、local声明
6.5.3 const声明
6.5.4 option声明
6.5.5 type声明
6.5.6 redef声明
6.5.7 function、event、hook声明
6.6 语句（statements)
6.6.1 add、delete语句
6.6.2 print语句
6.6.3 event，schedule语句
6.6.4 for、while、next语句
6.6.5 if、else、switch、fallthrough语句
6.6.6 when语句
6.6.7 break语句
6.6.8 return语句
6.7 属性(attributes)
6.7.1 &redef属性
6.7.2 &priority属性
6.7.3 &log属性
6.7.4 &optional属性
6.7.5 &default属性
6.7.6 &add_func、&delete_func属性
6.7.7 &create_expire、&read_expire、&write_expire、&expire_fune属性
6.7.8 &on_change属性
6.7.9 &raw_output属性
6.7.10 &error_handler属性
6.7.11 &type_column属性
6.7.12 &backend、&broker_store、&broker_allow_complex_type属性
6.7.13 &deprecated属性
6.8 指令（directives)
6.8.1 @DIR、@FILENAME指令
6.8.2 @deprecated指令
6.8.3 @load、@load-plugin、@load-sigs、@unload指令
6.8.4 @prefixes指令
6.8.5 @if、@ifdef、@ifndef、@else、@endif指令
6.8.6 @DEBUG指令
6.9 模块、命名空间与作用域
6.9.1 全局模块
6.9.2 符号的作用域
6.9.3 符号检索的顺序
6.10 常用数据结构
6.10.1 GLOBAL：：conn_id结构
6.10.2 GLOBAL：：endpoint结构
6.10.3 GLOBAL：：connection结构
6.11 经验与总结
第7章 Zeek框架
7.1 日志框架（Log：：）
7.1.1 日志流
7.1.2 过滤器
7.1.3 输出端
7.1.4 代码示例
7.2 输入框架（Input：：）
7.2.1 读取至table类型
7.2.2 读取至Files：：框架
7.2.3 读取至event事件
7.2.4 数据来源
7.3 配置框架（Config
7.4 统计框架（SumStats：：）
7.4.1 基础概念及使用方法
7.4.2 关键数据结构及接口
7.5 通知框架（Notice
7.5.1 基础使用方法
7.5.2 添加action
7.5.3 Weird：：模块