Clearcut 项目使用教程

1. 项目的目录结构及介绍

Clearcut 项目的目录结构如下：

Clearcut/
├── data/
├── .gitignore
├── LICENSE
├── README.md
├── analyze_flows.py
├── clearcut_utils.py
├── featureizer.py
├── flowenhancer.py
├── train_flows_iforest.py
└── train_flows_rf.py

目录结构介绍

• data/: 存放项目所需的数据文件。
• .gitignore: Git 忽略文件，指定哪些文件或目录不需要被 Git 跟踪。
• LICENSE: 项目的开源许可证文件，本项目使用 Apache-2.0 许可证。
• README.md: 项目的说明文件，包含项目的基本介绍、使用方法和依赖项。
• analyze_flows.py: 用于分析日志文件的脚本。
• clearcut_utils.py: 包含项目中使用的工具函数。
• featureizer.py: 用于特征提取的脚本。
• flowenhancer.py: 用于增强日志流数据的脚本。
• train_flows_iforest.py: 使用孤立森林算法训练模型的脚本。
• train_flows_rf.py: 使用随机森林算法训练模型的脚本。

2. 项目的启动文件介绍

Clearcut 项目的主要启动文件是 analyze_flows.py。该文件用于分析日志文件，并根据训练好的模型识别需要手动审查的日志条目。

启动文件介绍

• analyze_flows.py:
  • 功能：分析日志文件，识别需要手动审查的日志条目。
  • 使用方法：

    python analyze_flows.py <bro_http_log>
    

  • 参数：
    • <bro_http_log>: 需要分析的日志文件路径。

3. 项目的配置文件介绍

Clearcut 项目没有明确的配置文件，但可以通过命令行参数在启动脚本时进行配置。例如，在训练模型时，可以通过命令行参数指定训练数据的路径和输出路径。

配置文件介绍

• 训练模型配置:
  • 使用随机森林算法训练模型：

    python train_flows_rf.py <normal_training_data> -o <malicious_training_data>
    

  • 使用孤立森林算法训练模型：

    python train_flows_iforest.py <normal_training_data> -o <malicious_training_data>
    

  • 参数：
    • <normal_training_data>: 正常训练数据的路径。
    • <malicious_training_data>: 恶意训练数据的路径。

通过以上配置，您可以根据实际需求训练不同的模型，并在分析日志时使用这些模型。