Zeek.

Zeek, изначально написанный Vern Paxson в LBNL в 1995 году под именем Bro, — это открытый сетевой монитор безопасности, который разбирает большой объём трафика в структурированные логи (conn, http, dns, ssl, kerberos, files и др.) и предоставляет мощный событийно-ориентированный язык скриптов. В отличие от чисто сигнатурных IDS, Zeek делает упор на поведение, базлайнинг и семантику протоколов, что делает его идеальным для аналитики SOC, реагирования на инциденты, threat hunting и исследований. Его развёртывают на сетевых TAP в компаниях, у провайдеров и в академических сетях, интегрируют с Suricata, SIEM и платформами вроде Corelight. Операторы пишут скрипты Zeek для обогащения данных, генерации notices и питания нижестоящих детекционных пайплайнов.