Издание на колектор Netflow/IPFIX/sFlow Xenoeye 25.02

Публикуван е релиз на колектора Xenoeye за Netflow/IPFIX/sFlow на 25.02. Колекторът позволява събиране на статистика за трафика от различни мрежови устройства, предавана с използване на протоколите Netflow v5, v9, IPFIX и sFlow, обработка на данни, генериране на отчети и изграждане на графики. Ядрото на проекта е написано на езика C, а кодът се разпространява под лиценз ISC.

Колекторът агрегирате мрежов трафик по избрани полета и експортира данни в PostgreSQL. На базата на тези данни могат да бъдат изграждани отчети, графики (използвайки gnuplot, скриптове на Python + Matplotlib) или табла в Grafana. Освен това, колекторът може да изпълнява потребителски скриптове при надвишаване на прагове или при спад на трафика под прагове.

За изчисляване на текущата скорост на трафика се използват плъзгащи се средни. Механизмът, проследяващ превишаването на прагове, е предназначен за уведомяване за DoS/DDoS атаки и стартиране на подтискане чрез BGP анонси (Flowspec или Blackhole). Включен с колектора е примерен скрипт за Telegram бот, който може да уведомява в мессенджъра за аномалии. Колекторът не е взискателен към ресурсите, той може да обработва трафика на малки мрежи на Raspberry/Orange Pi или в виртуална машина с 2-4Гб оперативна памет.

Промени в новата версия:

• Добавена е поддръжка на протокола sFlow, за който е реализирана възможност за парсване на съдържанието (payload) на мрежовите пакети и извличане на информация за DNS и TLS (HTTPS) SNI. Хостинг компаниите и собствениците на дата центрове могат да използват тази възможност за борба с фишинг атаки и оценка на това, какви домейни сайтове се хостват в мрежата.
• Добавена е поддръжка на вложени/иерархични обекти за мониторинг, което позволява опростяване на определени конфигурации с голям брой обекти и подобряване на производителността при обработка в сравнение с "плоския" списък от обекти за мониторинг.
• Добавена е възможност за класификация на интерфейсите — трафикът на избрани мрежови интерфейси на маршрутизатори или суичове може да бъде игнориран или обработван по специален начин.
• Добавена е възможност да се следи не само за пикът на трафика, но и за спад под прагове, което може да е полезно за косвено наблюдение на отделни сървъри или услуги.
• Добавена е възможността за промяна на праговете на трафика без рестартиране на колектора. Механизмът е предназначен за ситуации, в които потребителите изчисляват праговете автоматично, основавайки се на статистиката от предишни периоди, и периодично обновяват праговете в колектора.
• Добавен е LXC контейнер за бързо разгръщане и тестване на колектора. В контейнера е включен колектор с предварително инсталирани обекти за мониторинг, PostgreSQL и Grafana.

Източник: opennet.ru