تم إعداد إصدار لنظام التقاط وتخزين وفهرسة حزم الشبكة Arkime 3.1، مما يوفر أدوات لتقييم تدفقات حركة المرور بشكل مرئي والبحث عن المعلومات المتعلقة بنشاط الشبكة. تم تطوير المشروع في الأصل بواسطة AOL بهدف إنشاء بديل مفتوح وقابل للنشر لمنصات معالجة حزم الشبكة التجارية، قادر على التوسع لمعالجة حركة المرور بسرعات تصل إلى عشرات الجيجابايت في الثانية. كود مكون التقاط حركة المرور مكتوب بلغة C، ويتم تنفيذ الواجهة في Node.js/JavaScript. يتم توزيع كود المصدر بموجب ترخيص Apache 2.0. يدعم العمل على Linux وFreeBSD. يتم إعداد الحزم الجاهزة لأنظمة Arch وCentOS وUbuntu.
يتضمن Arkime أدوات لالتقاط حركة المرور وفهرستها بتنسيق PCAP الأصلي، كما يوفر أدوات للوصول السريع إلى البيانات المفهرسة. يؤدي استخدام تنسيق PCAP إلى تبسيط عملية التكامل بشكل كبير مع محللي حركة المرور الحاليين مثل Wireshark. يقتصر حجم البيانات المخزنة فقط على حجم مجموعة الأقراص المتاحة. تتم فهرسة البيانات التعريفية للجلسة في مجموعة تعتمد على محرك Elasticsearch.
لتحليل المعلومات المتراكمة، يتم تقديم واجهة ويب تسمح لك بالتنقل والبحث وتصدير العينات. توفر واجهة الويب عدة أوضاع عرض - بدءًا من الإحصائيات العامة وخرائط الاتصال والرسوم البيانية المرئية مع بيانات حول التغييرات في نشاط الشبكة إلى أدوات دراسة الجلسات الفردية وتحليل النشاط في سياق البروتوكولات المستخدمة وتحليل البيانات من عمليات تفريغ PCAP. يتم أيضًا توفير واجهة برمجة التطبيقات (API) التي تسمح لك بإرسال بيانات حول الحزم الملتقطة بتنسيق PCAP والجلسات المفككة بتنسيق JSON إلى تطبيقات الطرف الثالث.
يتكون Arkime من ثلاثة مكونات أساسية:
- نظام التقاط حركة المرور هو تطبيق C متعدد الخيوط لمراقبة حركة المرور، وكتابة عمليات التفريغ بتنسيق PCAP على القرص، وتحليل الحزم الملتقطة وإرسال البيانات التعريفية حول الجلسات (SPI، فحص الحزم الحالة) والبروتوكولات إلى مجموعة Elasticsearch. من الممكن تخزين ملفات PCAP في شكل مشفر.
- واجهة ويب تعتمد على منصة Node.js، والتي تعمل على كل خادم لالتقاط حركة المرور وتعالج الطلبات المتعلقة بالوصول إلى البيانات المفهرسة ونقل ملفات PCAP عبر واجهة برمجة التطبيقات.
- تخزين البيانات الوصفية على أساس Elasticsearch.
في الإصدار الجديد:
- تمت إضافة دعم لبروتوكولات IETF QUIC وGENEVE وVXLAN-GPE.
- تمت إضافة دعم لنوع Q-in-Q (Double VLAN)، والذي يسمح لك بتغليف علامات VLAN في علامات المستوى الثاني لزيادة عدد شبكات VLAN إلى 16 مليونًا.
- تمت إضافة دعم لنوع الحقل "العائم".
- تم تحويل وحدة التسجيل في Amazon Elastic Compute Cloud لاستخدام بروتوكول IMDSv2 (Instance Metadata Service).
- تمت إعادة هيكلة الكود لإضافة أنفاق UDP.
- تمت إضافة دعم لـ ElasticsearchAPIKey و elasticsearchBasicAuth.
المصدر: opennet.ru