Пускане на системата за индексиране на мрежовия трафик Arkime 5.0

Публикувана е версия на системата за улавяне, съхраняване и индексиране на мрежови пакети Arkime 5.0, предоставяща инструменти за визуална оценка на трафик потоците и търсене на информация, свързана с мрежовата активност. Проектът първоначално е разработен от AOL с цел създаване на отворен заместител на платформи за обработка на пакети в търговската мрежа, който поддържа внедряване на своите сървъри и може да се мащабира, за да обработва трафик със скорости от десетки гигабита в секунда. Кодът на компонента за улавяне на трафика е написан на C, а интерфейсът е реализиран в Node.js/JavaScript. Изходният код се разпространява под лиценз Apache 2.0. Поддържа работа на Linux и FreeBSD. Подготвени са готови пакети за Arch Linux, RHEL/CentOS и Ubuntu.

Arkime включва инструменти за улавяне и индексиране на PCAP трафик, а също така предоставя инструменти за бърз достъп до индексирани данни. Използването на стандартен PCAP формат значително опростява интеграцията със съществуващи анализатори на трафик като Wireshark. Обемът на съхраняваните данни е ограничен само от размера на наличния дисков масив. Метаданните на сесията се индексират в клъстер въз основа на Elasticsearch или OpenSearch. Компонентът за улавяне на трафик работи в многонишков режим и решава задачите за наблюдение, записване на PCAP дъмпове на диск, анализиране на уловени пакети и изпращане на метаданни за сесии (SPI, Stateful packet inspection) и протоколи към клъстера Elasticsearch/OpenSearch. Възможно е да съхранявате PCAP файлове в криптирана форма.

За анализ на натрупаната информация се предлага уеб интерфейс, който ви позволява да навигирате, търсите и експортирате проби. Уеб интерфейсът предоставя няколко режима на преглед - от обща статистика, карти на връзката и визуални графики с данни за промени в мрежовата активност до инструменти за изучаване на отделни сесии, анализиране на активността в контекста на използваните протоколи и анализиране на данни от PCAP дъмпове. Осигурен е също API, който ви позволява да изпращате данни за заснети пакети във формат PCAP и разглобени сесии във формат JSON до приложения на трети страни.

В новата версия:

• Добавена е възможност за изпращане на комбинирани заявки за търсене на информация чрез услугата Cont3xt за събиране на информация, налична в различни отворени източници (OSINT) едновременно за няколко обекта.
• Добавена е поддръжка за JA4 и JA4+ методи за отпечатване на трафика за идентифициране на мрежови протоколи и приложения.
• Дизайнът на блока с подробна информация за сесията е променен, което минимизира неизползваното пространство и реализира двуколонно оформление за големи екрани.
• Добавени са падащи блокове към разделите Файлове, История и Статистика за едновременно търсене в няколко екземпляра на интерфейса за преглед на статистика (Viewer).
• Системата за авторизация е унифицирана и отделена в отделен модул, който вече се използва във всички приложения на Arkime. Вместо анонимния режим на оторизация по подразбиране се използва дайджест методът. Добавени са нови режими на оторизация: основен, формуляр, основен+форма, основен+oidc, само заглавие, заглавие+дайджест и заглавие+основен.
• Всички приложения са прехвърлени към унифицирана конфигурационна подсистема, която поддържа настройки за обработка в различни формати (ini, json, yaml) и може да зарежда настройки от различни източници, например от диск, по мрежата чрез HTTPS или от OpenSearch/Elasticsearch .
• Добавена е поддръжка за импортиране на запазени (офлайн) PCAP дъмпове и изтеглянето им чрез URL чрез HTTPS или от Amazon S3 хранилище, без да е необходимо първо да ги запазите в локалната система.

Източник: opennet.ru