شركة ايه او ال إطلاق نظام لالتقاط وتخزين وفهرسة حزم الشبكة ، والذي يوفر أدوات لتقييم تدفقات حركة المرور بشكل مرئي والبحث عن المعلومات المتعلقة بنشاط الشبكة. الكود مكتوب بلغة C (الواجهة في Node.js/JavaScript) و مرخص تحت أباتشي 2.0. يدعم العمل على Linux وFreeBSD. مستعد تم إعداده لإصدارات مختلفة من CentOS وUbuntu.
تم إنشاء المشروع في عام 2012 بهدف إنشاء بديل مفتوح لمنصة معالجة حزم الشبكة التجارية التي يمكن أن تتناسب مع حجم حركة مرور AOL. أتاح تنفيذ نظام جديد في AOL إمكانية تحقيق التحكم الكامل في البنية التحتية بسبب النشر على خوادمها وتقليل التكاليف بشكل كبير - استخدام Moloch لالتقاط حركة المرور بشكل كامل في جميع شبكات AOL يكلف نفس المبلغ عند الاستخدام في السابق، كان يتم إنفاقه على التقاط حركة المرور على شبكة واحدة فقط. يمكن للنظام التوسع في معالجة حركة المرور بسرعات تصل إلى عشرات الجيجابت في الثانية. يقتصر حجم البيانات المخزنة فقط على حجم مجموعة الأقراص المتوفرة.
تتم فهرسة البيانات التعريفية للجلسة في المجموعة المستندة إلى المحرك .
يتضمن Moloch أدوات لالتقاط وفهرسة حركة المرور بتنسيق PCAP الأصلي، بالإضافة إلى الوصول السريع إلى البيانات المفهرسة. لتحليل المعلومات المتراكمة، يتم تقديم واجهة ويب تسمح لك بالتنقل والبحث وتصدير العينات. المقدمة أيضا ، والذي يسمح لك بنقل البيانات حول الحزم الملتقطة بتنسيق PCAP والجلسات التي تم تحليلها بتنسيق JSON إلى تطبيقات الطرف الثالث. يؤدي استخدام تنسيق PCAP إلى تبسيط عملية التكامل بشكل كبير مع محللي حركة المرور الحاليين مثل Wireshark.
يتكون مولوخ من ثلاثة مكونات أساسية:
- نظام التقاط حركة المرور هو تطبيق C متعدد الخيوط لمراقبة حركة المرور، وكتابة عمليات التفريغ بتنسيق PCAP على القرص، وتحليل الحزم الملتقطة وإرسال البيانات التعريفية حول الجلسات (SPI، فحص الحزم الحالة) والبروتوكولات إلى مجموعة Elasticsearch. من الممكن تخزين ملفات PCAP في شكل مشفر.
- واجهة ويب تعتمد على منصة Node.js، والتي تعمل على كل خادم لالتقاط حركة المرور وتعالج الطلبات المتعلقة بالوصول إلى البيانات المفهرسة ونقل ملفات PCAP عبر .
- تخزين البيانات الوصفية على أساس Elasticsearch.
توفر واجهة الويب عدة أوضاع عرض - بدءًا من الإحصائيات العامة وخرائط الاتصال والرسوم البيانية المرئية مع بيانات حول التغييرات في نشاط الشبكة إلى أدوات دراسة الجلسات الفردية وتحليل النشاط في سياق البروتوكولات المستخدمة وتحليل البيانات من عمليات تفريغ PCAP.
В :
- تم الانتقال إلى استخدام تنسيق بدون كتابة للفهرسة في Elasticsearch.
- تمت إضافة أمثلة لمرشحات التقاط حركة المرور في Lua.
- تم تنفيذ دعم الإصدار 46 مسودة من بروتوكول QUIC.
- تمت إعادة صياغة التعليمات البرمجية الخاصة ببروتوكولات التحليل، مما يجعل من الممكن كتابة المحللين لبروتوكولات مستوى Ethernet وIP.
- تم اقتراح محللين جدد لبروتوكولات arp، وbgp، وigmp، وisis، وlldp، وospf، وpim، بالإضافة إلى محللين لبروتوكولات unkEthernet وunkIpProtocol غير المعروفة.
- تمت إضافة خيار لتعطيل المحللين بشكل انتقائي (disableParsers).
- تمت إضافة القدرة على عرض أي حقل عدد صحيح على الرسوم البيانية، المعينة في صفحة الإعدادات، إلى واجهة الويب.
- يمكن الآن تجميد الرسوم البيانية والعناوين وعدم تحريكها عند تمرير الصفحة.
- تكون معظم أشرطة التنقل مخفية أو مطوية بشكل افتراضي.
المصدر: opennet.ru