Издание на колектора Netflow/IPFIX/sFlow Xenoeye 25.02

Публикуван е релизът на колектора Netflow/IPFIX/sFlow Xenoeye 25.02. Колекторът позволява събирането на статистика за трафичните потоци от различни мрежови устройства, предавана чрез протоколите Netflow v5, v9, IPFIX и sFlow, обработва данните, генерира отчети и изгражда графики. Ядрото на проекта е написано на езика C, а кодът се разпространява под лицензия ISC.

Колекторът агрегира мрежов трафик по избрани полета и експортира данните в PostgreSQL. С тези данни могат да се изграждат отчети, графики (използвайки gnuplot, скриптове на Python + Matplotlib) или табла в Grafana. Освен това, колекторът може да стартира потребителски скриптове при превишаване на праговете или при спад на трафика под праговете.

За изчисление на текущата скорост на трафика се използват скользящи средни. Механизмът, следящ за превишаване на праговете, е предназначен за уведомяване за DoS/DDoS атаки и стартиране на потискане чрез BGP анонси (Flowspec или Blackhole). В комплект с колектора идва пример на скрипта за Telegram-робот, който може да уведомява в месинджър за аномалии. Колекторът не е взискателен към ресурсите и може да обработва трафика на малки мрежи на Raspberry/Orange Pi или във виртуална машина с 2-4GB оперативна памет.

Промени в новата версия:

• Добавена е поддръжка на протокола sFlow, за който е реализирана възможност за парсинг на съдържанието (payload) на мрежовите пакети и извличане на информация за DNS и TLS (HTTPS) SNI. Хостинг компаниите и собствениците на дата центрове могат да използват тази възможност за борба с фишинг и оценка на това, кои домейни сайтове се хостват в мрежата.
• Добавена поддръжка на вложени/иерархични обекти за мониторинг, което опростява определени конфигурации с много обекти и повишава производителността на обработката в сравнение с 'плоската' структура на обектите за мониторинг.
• Добавена е възможност за класификация на интерфейсите - трафикът на избраните мрежови интерфейси на маршрутизатори или суичове може да се игнорира или да се обработва по специален начин.
• Добавена е възможност за следене не само на пикове на трафика, но и на спадове под праговете, което може да бъде полезно за индиректно наблюдение на отделни сървъри или услуги.
• Добавена възможност за промяна на праговете на трафика без рестартиране на колектора. Механизмът е предназначен за ситуации, когато потребителите автоматично изчисляват праговете въз основа на статистика от предишни периоди и периодично актуализират праговете в колектора.
• Добавен е LXC контейнер за бързо разгръщане и тестване на колектора. В контейнера е включен колектор с предварително инсталирани мониторинг обекти, PostgreSQL и Grafana.

Източник: opennet.ru