Certego Zeek Docker镜像文档

概述

本仓库为Certego提供的Zeek Docker镜像，用于构建和部署Zeek网络分析工具环境。该镜像支持灵活定制Zeek版本及GEOIP功能，并提供生产就绪的标准版本和基于Tcmalloc的优化版本。

Dockerfiles

build文件夹中包含两个Dockerfile：

1. zeek.dockerfile：生产就绪的标准镜像，用于构建基础Zeek环境。
2. zeekTcmalloc.dockerfile：标准镜像的克隆版本，使用Tcmalloc内存分配器构建Zeek。

入口点（Entrypoint）

两个Dockerfile均使用run.sh作为入口点脚本。

版本控制（Versioning）

默认构建Zeek镜像时使用的版本为7.0.6。通过Dockerfile中的VER构建参数可自定义Zeek版本，实现灵活版本控制。

使用示例

指定版本构建镜像：

bash
docker build -t zeek_test:7.0.6 -f build/zeek.dockerfile --build-arg VER=7.0.6 .

GEOIP支持

默认构建时不启用GEOIP功能。通过GEOIP构建参数可手动启用或禁用GEOIP支持，增强网络分析的地理位置信息能力。

使用示例

启用GEOIP构建镜像：

bash
docker build -t zeek_test:7.0.6 -f build/zeek.dockerfile --build-arg VER=7.0.6 --build-arg GEOIP=true .

GEOIP数据库更新

更新GEOIP数据库需在geoip文件夹中添加新的数据库文件。

本产品包含MaxMind创建的GeoLite2数据，可从此处获取。

构建与推送（Build & Push）

自动构建

在certego/docker-zeek GitHub仓库中，已配置自动化构建流程：通过在GitHub上创建Draft Release（指定版本），将触发DockerHub自动构建镜像。

手动构建

可通过以下两种方式手动构建：

1. 使用build.sh脚本（需带-b参数）：

   bash
   ./build.sh -b
   

2. 直接执行docker build命令：

   bash
   docker build \
     --build-arg VER=<X.Y.Z> \
     [--build-arg GEOIP=false] \
     -f <build/zeek.dockerfile | build/zeekTcmalloc.dockerfile> \
     -t [certego/zeek:<X.Y.Z>-nogeo | certego/zeek:<X.Y.Z> | certego/zeek:tcmalloc_<X.Y.Z>-nogeo | certego/zeek:tcmalloc_<X.Y.Z>] \
     .
   

   标签说明：

   • certego/zeek:<X.Y.Z>：启用GEOIP的标准版本
   • certego/zeek:<X.Y.Z>-nogeo：禁用GEOIP的标准版本
   • certego/zeek:tcmalloc_<X.Y.Z>：启用GEOIP的Tcmalloc版本
   • certego/zeek:tcmalloc_<X.Y.Z>-nogeo：禁用GEOIP的Tcmalloc版本

核心功能与特性

• 版本定制：通过VER参数指定任意Zeek版本构建
• GEOIP开关：通过GEOIP参数灵活启用/禁用地理位置分析
• 双版本支持：提供标准构建与Tcmalloc优化构建两种选择
• 自动化集成：支持GitHub Draft Release触发自动构建

使用场景

适用于需要快速部署Zeek网络分析工具的场景，如网络流量监控、安全事件分析、日志审计等，尤其适合对Zeek版本有特定要求或需要GEOIP增强分析的环境。