本文所介绍的工具适合家庭环境下的“黑盒测试”，它可以帮助你记录网络中发生的所有事情。你可以用它来检测网络威胁，或将数据提供给相关专家来进行网络取证分析。
如果你需要的是企业环境下的解决方案，你可以参考Security Onion的【这篇文章】。
购物清单1. 树莓派3 （外壳+电源+电路板）
2. 闪迪Class 10 microSD卡 64GB（80Mb/s）
3. Debian OS-Linux RaspbianLite
4. 网件千兆交换机或其他支持端口镜像的设备，我使用的是D-Link1100-08P
5. Critical Stack API（Threat Intel/ IOCs）
6. Mailgun账号或类似支持警报/通知的邮件服务
总价值：约75英镑
概览图
什么是端口镜像？
将一个端口的流量数据复制到另一个端口（被动式），会增加交换机的运行负荷。
什么是Bro？
一款IDS协议分析工具，你可以把它当作Wireshark的协议分析器，但是它没有GUI界面，而且速度更快。
什么是Netsniff?
进行数据包捕获的守护进程，它使用了AF-packet来提升数据包的捕捉速度。
什么是LOKI？
基于YARA的文件扫描守护进程。有些类似基于签名检测的反病毒产品，但是你可以自行制定检测规则。
什么是Critical Stack？
一个威胁情报平台，你可以在树莓派上通过API来与该平台链接。
什么是Team Cymru MHR？
一个恶意软件哈希库，你可以使用该数据库中的信息来对检测到的恶意程序哈希进行匹配。
开始动手
1. 把系统刷到树莓派中
2. 给树莓派分配一个IP
3. 运行bash脚本
4. 搞定
一、把Raspbian刷到microSD卡中我使用的是MacBook，所以不同平台的方法可能会有所不同，其他平台用户可以参考【这篇教程】来获取更多内容。
插入microSD卡：
diskutil list找到磁盘号：
diskutil unmountDisk /dev/disk<disk#from diskutil>将Raspbian镜像刷入到microSD卡’disk’中：
sudo dd bs=1m if=image.imgof=/dev/rdisk<disk# from diskutil>完成之后，卸载microSD卡：
diskutil unmountDisk /dev/disk<disk#from diskutil> 二、配置网络使用默认配置登录。用户名：pi，密码：raspberry。
设置wlan0（wifi）的IP，用于受信管理访问：
sudo nano/etc/wpa_supplicant/wpa_supplicant.conf network={ ssid="The_ESSID_from_earlier" psk="Your_wifi_password" } sudo ifdown wlan0 sudo ifup wlan0 ifconfig wlan0当你获取到了一个DHCP IP之后，你可以使用SSH访问这个节点了。接下来，将eth0留下当作镜像接口，它不需要设置IP地址。
sudo apt-get update && sudo apt-get-y install vim sudo vim /etc/network/interfaces添加下列代码：
iface eth0 inet static static ip_address=0.0.0.0重启eth0接口：
sudo ifconfig eth0 down && sudoifconfig eth0 up 三、部署下载并运行bash脚本，脚本已在Raspbian上成功测试。
-安装程序的核心组件
-配置网络选项（禁用NIC offloading）
-给每一个程序创建服务
-使用Mailgun/SSMTP创建邮件警报
-配置cron任务
pi@foxhound:~# sudo su - root@foxhound:~# apt-get install -y git root@foxhound:~# cd ~ root@foxhound:~# git clonehttps://github.com/sneakymonk3y/foxhound-nsm.git root@foxhound:~# chmod +xfoxhound-nsm/foxhound.sh root@foxhound:~# ./foxhound-nsm/foxhound.sh现在，环境部署已经完全完成啦！
接下来呢？当脚本完成运行之后，所有的服务都会被立刻激活，然后你就可以看到所有流入的数据啦！
性能