Zeek è un framework di analisi di rete che osserva il traffico e lo trasforma in log strutturati, metadati dei protocolli ed evidenze a livello di sessione. Piuttosto che basarsi soprattutto su firme, analizza i protocolli e registra ciò che è accaduto sulla rete: chi ha parlato con chi, quali servizi sono stati usati, quali file o comandi sono stati esposti e quali dettagli del protocollo sembravano insoliti.
Questo è importante perché molti attacchi sono più facili da dimostrare che da bloccare. Zeek aiuta i difensori a indagare su scansioni, movimento laterale, command-and-control e furto di dati preservando un contesto ricco che i soli alert possono non rilevare. In pratica, viene spesso distribuito come sensore insieme agli strumenti IDS, fornendo ai SIEM e ai flussi di lavoro di risposta agli incidenti evidenze ricercabili. Questo rende Zeek prezioso per il triage, la threat hunting e la ricostruzione post-incidente, soprattutto quando gli analisti hanno bisogno di un resoconto difendibile del comportamento della rete.