Zeek è uno strumento di analisi del traffico di rete che, invece di lanciare un allarme a ogni pacchetto sospetto, registra in modo sistematico tutto ciò che passa su un collegamento. Fino al 2018 si chiamava Bro. Vern Paxson, allora ricercatore al Lawrence Berkeley National Laboratory, ne scrisse la prima versione nel 1995, e l’articolo che lo presentava vinse il premio per il miglior articolo al simposio USENIX Security del 1998, secondo la cronologia pubblicata nella documentazione.
Il codice è distribuito con licenza BSD a tre clausole. Il progetto è guidato dalla comunità e da un gruppo dirigente di volontari, mentre la società Corelight si definisce custode del progetto, non proprietaria, e ne finanzia una parte. La versione 9.0.0, pubblicata su GitHub il 21 agosto 2026, è indicata su zeek.org come l’attuale versione a supporto esteso.
A cosa serve Zeek
Zeek riceve una copia del traffico, ottenuta da una porta mirror dello switch o da un dispositivo di tap, e ricostruisce le comunicazioni livello per livello. Ne ricava log distinti per protocollo: un file con tutte le connessioni, altri per le query DNS, gli scambi HTTP, i certificati TLS, i file trasferiti, le sessioni SSH o SMB. Salvati come testo separato da tabulazioni o in JSON, questi log occupano poco spazio rispetto a una cattura completa e si integrano senza fatica in un SIEM o in una piattaforma di ricerca.
Tutto il comportamento di Zeek, compresa la registrazione predefinita, è scritto nel suo linguaggio di scripting. Un analista può quindi aggiungere controlli pensati per la propria rete, estrarre automaticamente i file di una sessione, individuare tentativi di forza bruta su SSH o segnalare un certificato la cui catena di fiducia non risulta valida. Un gestore di pacchetti, nato nel 2016 grazie a un finanziamento della Mozilla Foundation, installa le estensioni scritte dalla comunità. Per volumi elevati più macchine si dividono il traffico in cluster, e la documentazione cita siti che sorvegliano collegamenti a 10 e poi a 100 Gbit/s.
La documentazione chiarisce anche cosa Zeek non è. Non blocca né modifica pacchetti, e per un sistema di prevenzione in linea rimanda a Suricata o a Snort. Non è pensato nemmeno per la ricerca di firme byte per byte, terreno in cui Suricata dà il meglio, né per l’esame dei frame uno a uno come fa Wireshark. Accanto a Wazuh, che sorveglia le macchine tramite agenti, Zeek fornisce la visione della rete, mentre ntopng, già presente nella nostra raccolta di software, è più adatto a seguire volumi e prestazioni.
Per chi è?
Zeek è pensato per i team di sicurezza che hanno bisogno di una cronologia affidabile di quanto accaduto in rete, sia per la ricerca attiva delle minacce sia per le indagini dopo un incidente. La documentazione cita università, laboratori di ricerca, centri di supercalcolo, grandi aziende ed enti governativi tra gli utilizzatori abituali. Anche i ricercatori lo apprezzano come ambiente programmabile per studiare i protocolli.
Richiede però un impegno concreto. Serve un punto di ascolto sulla rete, una macchina dimensionata in base al traffico e il tempo per imparare un linguaggio di scripting specifico prima di andare oltre i log predefiniti. Manca un’interfaccia grafica, quindi i log si leggono da riga di comando o si inviano a uno strumento di visualizzazione. Chi vuole soprattutto fermare attacchi noti farà bene a guardare Suricata, e chi intende sorvegliare i propri server dall’interno a Wazuh.
Scaricare Zeek in sicurezza
La pagina Get Zeek di zeek.org raccoglie gli archivi del codice sorgente, ospitati su download.zeek.org, e rimanda ai pacchetti binari per Linux generati sull’openSUSE Build Service, con canali separati per l’ultima versione, le linee a supporto esteso e le release candidate. Il progetto pubblica inoltre immagini Docker ufficiali con il nome zeek/zeek, nelle varianti latest e lts. Su macOS, FreeBSD e OpenBSD Zeek si installa tramite Homebrew o le raccolte di port, che la documentazione segnala come non gestite dal progetto. Per Windows è descritta solo una compilazione sperimentale.
Zeek non ha edizioni a pagamento. Corelight vende sonde proprie costruite attorno al software, ma la versione pubblicata dal progetto è completa e gratuita. Dato che una sonda Zeek vede passare tutto il traffico di un’organizzazione, comprese password in chiaro e dati riservati, qualsiasi build ottenuta fuori dai canali del progetto rappresenta un rischio inaccettabile.
Domande frequenti
Che differenza c’è tra Bro e Zeek?
Si tratta dello stesso software. Il gruppo dirigente ha deciso di rinominarlo nell’autunno 2018, e Zeek 3.0, uscita nel 2019, è stata la prima versione con il nuovo nome.
Zeek può bloccare un attacco?
No. Zeek è passivo e lavora su una copia del traffico. Può richiamare un firewall o uno switch tramite script, ma per il blocco in linea la documentazione consiglia Suricata o Snort in modalità prevenzione.
Zeek funziona su Windows?
Non ufficialmente. Il progetto descrive una compilazione sperimentale con Visual Studio e Npcap, senza binari pronti. Linux resta la piattaforma di riferimento, con pacchetti e immagini Docker ufficiali.
