Релиз на системата за индексиране на мрежовия трафик Arkime 5.0.

Публикуван е релиз на системата за улавяне, съхранение и индексиране на мрежови пакети Arkime 5.0, предоставяща инструменти за визуална оценка на трафичните потоци и търсене на информация, свързана с мрежовата активност. Проектът първоначално е разработен от компанията AOL с цел създаването на отворена алтернатива на търговски платформи за обработка на мрежови пакети, поддържаща разгръщане на собствени сървъри и способна да мащабира за обработка на трафик с скорости до десетки гигабити в секунда. Кодът на компонента за улавяне на трафика е написан на C, а интерфейсът е реализиран на Node.js/JavaScript. Изходният код се разпространява под лицензия Apache 2.0. Поддържани са Linux и FreeBSD. Подготвени са готови пакети за Arch Linux, RHEL/CentOS и Ubuntu.

Arkime включва инструменти за улавяне и индексиране на трафик в формат PCAP, както и предоставя средства за бърз достъп до индексите данни. Използването на стандартния формат PCAP значително улеснява интеграцията с наличните анализатори на трафик, като Wireshark. Обемът на съхраняваните данни е ограничен само от размера на наличния дисков масив. Метаданните за сесиите се индексират в клъстер на база движка Elasticsearch или OpenSearch. Компонентът за улавяне на трафик работи в многопоточен режим и решава задачи за мониторинг, запис на PCAP дампове на диск, разбиране на уловени пакети и изпращане на метаданни за сесиите (SPI, Stateful packet inspection) и протоколите в клъстер Elasticsearch/OpenSearch. Възможно е съхранение на PCAP файлове в криптиран вид.

За анализ на събраната информация се предлага уеб интерфейс, позволяващ навигация, търсене и експортиране на извадки. В уеб интерфейса са предвидени няколко режима на преглед — от обща статистика, карта на съединения и визуални графики с данни за промяната на мрежовата активност до инструменти за изучаване на отделни сесии, анализ на активността в разрез на използваните протоколи и разбиране на данни от PCAP дампове. Също така е предоставен API, позволяващ предаване на данни за улавяните пакети във формат PCAP и разбраните сесии във формат JSON на външни приложения.

В новата версия:

• Добавена е възможност за изпращане на комбинирани търсения на информация чрез услугата Cont3xt за събиране на известна в различни открити източници (OSINT) информация одновременно за няколко обекта.
• Добавена е поддръжка на методите за формиране на отпечатъци на трафика JA4 и JA4+ за определяне на мрежови протоколи и приложения.
• Променен е дизайна на блока с подробна информация за сесията, в който е минимизирано неизползваното пространство и е реализирана двуколонна компоновка за по-големи екрани.
• В табовете Files, History и Stats са добавени падащи блокове за търсене одновременно в няколко екземпляра на интерфейса за преглед на статистиката (Viewer).
• Системата за удостоверяване е унифицирана и отделена в самостоятелен модул, който сега се използва във всички приложения на Arkime. Вместо анонимен режим на удостоверяване по подразбиране е активиран методът digest. Добавени са нови режими на удостоверяване: basic, form, basic+form, basic+oidc, headerOnly, header+digest и header+basic.
• Всички приложения са преведени на унифицираната подсистема за конфигурация, която поддържа обработка на настройките в различни формати (ini, json, yaml) и може да зарежда настройки от различни източници, например от диска, по мрежа чрез HTTPS или от OpenSearch/Elasticsearch.
• Добавена е поддръжка за импорт на записани (offline) PCAP дампове с тяхното зареждане по URL чрез HTTPS или от хранилище Amazon S3, без необходимост от предварително запазване на локалната система.

Източник: opennet.ru