Издаване на системата за индексация на мрежовия трафик Arkime 5.0

Издаден е релиз на системата за улавяне, съхранение и индексиране на мрежови пакети Arkime 5.0, която предоставя инструменти за визуална оценка на трафиковите потоци и търсене на информация, свързана с мрежовата активност. Първоначално проектът е разработен от компанията AOL с цел да създаде открито заместител на търговски платформи за обработка на мрежови пакети, поддържащ последващо разгръщане на собствените си сървъри и способен да мащабира за обработка на трафик със скорости от десетки гигабити в секунда. Кодът на компонента за улавяне на трафик е написан на езика C, а интерфейсът е реализиран на Node.js/JavaScript. Изходните кодове се разпространяват под лицензия Apache 2.0. Поддържа се работа в Linux и FreeBSD. Готови пакети са подготвени за Arch Linux, RHEL/CentOS и Ubuntu.

Arkime включва инструменти за улавяне и индексиране на трафик в формат PCAP, а също така предоставя средства за бърз достъп до индексираните данни. Използването на стандартния формат PCAP значително опростява интеграцията с наличните анализатори на трафик, като Wireshark. Обемът на съхраняваните данни се ограничава само от размера на наличния дисков масив. Метаданните за сесиите се индексират в клъстера на база движка Elasticsearch или OpenSearch. Компонентът за улавяне на трафик работи в многонишков режим и решава задачи по мониторинг, записване на PCAP дампове на диска, анализиране на улавяните пакети и изпращане на метаданни за сесиите (SPI, Stateful packet inspection) и протоколите в клъстера Elasticsearch/OpenSearch. Възможно е съхранение на PCAP файлове в криптиран вид.

За анализ на натрупаната информация се предлага уеб-интерфейс, позволяващ навигация, търсене и експортиране на селекции. В уеб-интерфейса са предвидени няколко режима на преглед — от обща статистика, карта на връзките и визуализации на графики с данни за промени в мрежовата активност до инструменти за проучване на отделни сесии, анализ на активността по използвани протоколи и разглеждане на данни от PCAP дампове. Също така се предоставя API, позволяващ предаване на данни за улавяни пакети в формат PCAP и разглеждани сесии в формат JSON на външни приложения.

В новата версия:

• Добавена възможност за изпращане на комбинирани търсения на информация чрез услугата Cont3xt, за да се събира наличната информация от различни открити източници (OSINT) за няколко обекта едновременно.
• Добавена е поддръжка на методите за създаване на отпечатъци на трафика JA4 и JA4+, за определяне на мрежови протоколи и приложения.
• Променен е дизайнът на блока с детайлна информация за сесията, в който е минимизирано неизползваемото пространство и е реализирана двуколонна компоновка за големи екрани.
• В разделите Files, History и Stats са добавени разпадащи се блокове за търсене едновременно в няколко инстанции на интерфейса за преглед на статистика (Viewer).
• Системата за авторизация е унифицирана и изнесена в отделен модул, който сега се използва във всички приложения на Arkime. Вместо анонимен режим на авторизация по подразбиране е включен методът digest. Добавени са нови режими на авторизация: basic, form, basic+form, basic+oidc, headerOnly, header+digest и header+basic.
• Всички приложения са преминали на унифицирана подсистема за конфигурация, която поддържа обработка на настройки в различни формати (ini, json, yaml) и може да зарежда настройки от различни източници, като например от диск, през мрежата чрез HTTPS или от OpenSearch/Elasticsearch.
• Добавена е поддръжка за импортиране на запазени (offline) PCAP-дъмпове с тяхното зареждане по URL чрез HTTPS или от хранилище Amazon S3, без необходимост от предварително съхранение на локалната система.

Източник: opennet.ru