Доступна систСма индСксации сСтСвого Ρ‚Ρ€Π°Ρ„ΠΈΠΊΠ° Arkime 3.1

ΠŸΠΎΠ΄Π³ΠΎΡ‚ΠΎΠ²Π»Π΅Π½ Ρ€Π΅Π»ΠΈΠ· систСмы для Π·Π°Ρ…Π²Π°Ρ‚Π°, хранСния ΠΈ индСксации сСтСвых ΠΏΠ°ΠΊΠ΅Ρ‚ΠΎΠ² Arkime 3.1, ΠΏΡ€Π΅Π΄ΠΎΡΡ‚Π°Π²Π»ΡΡŽΡ‰Π΅ΠΉ инструмСнты для наглядной ΠΎΡ†Π΅Π½ΠΊΠΈ ΠΏΠΎΡ‚ΠΎΠΊΠΎΠ² Ρ‚Ρ€Π°Ρ„ΠΈΠΊΠ° ΠΈ поиска ΠΈΠ½Ρ„ΠΎΡ€ΠΌΠ°Ρ†ΠΈΠΈ, связанной с сСтСвой Π°ΠΊΡ‚ΠΈΠ²Π½ΠΎΡΡ‚ΡŒΡŽ. Π˜Π·Π½Π°Ρ‡Π°Π»ΡŒΠ½ΠΎ ΠΏΡ€ΠΎΠ΅ΠΊΡ‚ Π±Ρ‹Π» Ρ€Π°Π·Ρ€Π°Π±ΠΎΡ‚Π°Π½ ΠΊΠΎΠΌΠΏΠ°Π½ΠΈΠ΅ΠΉ AOL с Ρ†Π΅Π»ΡŒΡŽ создания ΠΎΡ‚ΠΊΡ€Ρ‹Ρ‚ΠΎΠΉ ΠΈ Ρ€Π°Π·Π²Ρ‘Ρ€Ρ‚Ρ‹Π²Π°Π΅ΠΌΠΎΠΉ Π½Π° своих сСрвСрах Π·Π°ΠΌΠ΅Π½Ρ‹ коммСрчСским ΠΏΠ»Π°Ρ‚Ρ„ΠΎΡ€ΠΌΠ°ΠΌ ΠΎΠ±Ρ€Π°Π±ΠΎΡ‚ΠΊΠΈ сСтСвых ΠΏΠ°ΠΊΠ΅Ρ‚ΠΎΠ², способной ΠΌΠ°ΡΡˆΡ‚Π°Π±ΠΈΡ€ΠΎΠ²Π°Ρ‚ΡŒΡΡ для ΠΎΠ±Ρ€Π°Π±ΠΎΡ‚ΠΊΠΈ Ρ‚Ρ€Π°Ρ„ΠΈΠΊΠ° Π½Π° скоростях Π² дСсятки Π³ΠΈΠ³Π°Π±ΠΈΡ‚ Π² сСкунду. Код ΠΊΠΎΠΌΠΏΠΎΠ½Π΅Π½Ρ‚Π° для Π·Π°Ρ…Π²Π°Ρ‚Π° Ρ‚Ρ€Π°Ρ„ΠΈΠΊΠ° написан Π½Π° языкС Π‘ΠΈ, Π° интСрфСйс Ρ€Π΅Π°Π»ΠΈΠ·ΠΎΠ²Π°Π½ Π½Π° Node.js/JavaScript. Π˜ΡΡ…ΠΎΠ΄Π½Ρ‹Π΅ тСксты распространяСтся ΠΏΠΎΠ΄ Π»ΠΈΡ†Π΅Π½Π·ΠΈΠ΅ΠΉ Apache 2.0. ΠŸΠΎΠ΄Π΄Π΅Ρ€ΠΆΠΈΠ²Π°Π΅Ρ‚ΡΡ Ρ€Π°Π±ΠΎΡ‚Π° Π² Linux ΠΈ FreeBSD. Π“ΠΎΡ‚ΠΎΠ²Ρ‹Π΅ ΠΏΠ°ΠΊΠ΅Ρ‚Ρ‹ ΠΏΠΎΠ΄Π³ΠΎΡ‚ΠΎΠ²Π»Π΅Π½Ρ‹ для Arch, CentOS ΠΈ Ubuntu.

Arkime Π²ΠΊΠ»ΡŽΡ‡Π°Π΅Ρ‚ инструмСнты для Π·Π°Ρ…Π²Π°Ρ‚Π° ΠΈ индСксации Ρ‚Ρ€Π°Ρ„ΠΈΠΊΠ° Π² ΡˆΡ‚Π°Ρ‚Π½ΠΎΠΌ Ρ„ΠΎΡ€ΠΌΠ°Ρ‚Π΅ PCAP, Π° Ρ‚Π°ΠΊΠΆΠ΅ прСдоставляСт срСдства для быстрого доступа ΠΊ проиндСксированным Π΄Π°Π½Π½Ρ‹ΠΌ. ΠŸΡ€ΠΈΠΌΠ΅Π½Π΅Π½ΠΈΠ΅ Ρ„ΠΎΡ€ΠΌΠ°Ρ‚Π° PCAP сущСствСнно ΡƒΠΏΡ€ΠΎΡ‰Π°Π΅Ρ‚ ΠΈΠ½Ρ‚Π΅Π³Ρ€Π°Ρ†ΠΈΡŽ с ΡΡƒΡ‰Π΅ΡΡ‚Π²ΡƒΡŽΡ‰ΠΈΠΌΠΈ Π°Π½Π°Π»ΠΈΠ·Π°Ρ‚ΠΎΡ€Π°ΠΌΠΈ Ρ‚Ρ€Π°Ρ„ΠΈΠΊΠ°, Ρ‚Π°ΠΊΠΈΠΌΠΈ ΠΊΠ°ΠΊ Wireshark. ΠžΠ±ΡŠΡ‘ΠΌ Ρ…Ρ€Π°Π½ΠΈΠΌΡ‹Ρ… Π΄Π°Π½Π½Ρ‹Ρ… ограничиваСтся Ρ‚ΠΎΠ»ΡŒΠΊΠΎ Ρ€Π°Π·ΠΌΠ΅Ρ€ΠΎΠΌ ΠΈΠΌΠ΅ΡŽΡ‰Π΅Π³ΠΎΡΡ дискового массива. ΠœΠ΅Ρ‚Π°Π΄Π°Π½Π½Ρ‹Π΅ ΠΎ сСансах ΠΈΠ½Π΄Π΅ΠΊΡΠΈΡ€ΡƒΡŽΡ‚ΡΡ Π² кластСрС Π½Π° Π±Π°Π·Π΅ Π΄Π²ΠΈΠΆΠΊΠ° Elasticsearch.

Для Π°Π½Π°Π»ΠΈΠ·Π° Π½Π°ΠΊΠΎΠΏΠ»Π΅Π½Π½ΠΎΠΉ ΠΈΠ½Ρ„ΠΎΡ€ΠΌΠ°Ρ†ΠΈΠΈ прСдлагаСтся web-интСрфСйс, ΠΏΠΎΠ·Π²ΠΎΠ»ΡΡŽΡ‰ΠΈΠΉ Π²Ρ‹ΠΏΠΎΠ»Π½ΡΡ‚ΡŒ Π½Π°Π²ΠΈΠ³Π°Ρ†ΠΈΡŽ, поиск ΠΈ экспорт Π²Ρ‹Π±ΠΎΡ€ΠΎΠΊ. Π’ web-интСрфСйсС прСдусмотрСно нСсколько Ρ€Π΅ΠΆΠΈΠΌΠΎΠ² просмотра — ΠΎΡ‚ ΠΎΠ±Ρ‰Π΅ΠΉ статистики, ΠΊΠ°Ρ€Ρ‚Ρ‹ соСдинСний ΠΈ наглядных Π³Ρ€Π°Ρ„ΠΈΠΊΠΎΠ² с Π΄Π°Π½Π½Ρ‹ΠΌΠΈ ΠΎΠ± ΠΈΠ·ΠΌΠ΅Π½Π΅Π½ΠΈΠΈ сСтСвой активности Π΄ΠΎ инструмСнтов для изучСния ΠΎΡ‚Π΄Π΅Π»ΡŒΠ½Ρ‹Ρ… сСансов, Π°Π½Π°Π»ΠΈΠ·Π° активности Π² Ρ€Π°Π·Ρ€Π΅Π·Π΅ ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΡƒΠ΅ΠΌΡ‹Ρ… ΠΏΡ€ΠΎΡ‚ΠΎΠΊΠΎΠ»ΠΎΠ² ΠΈ Ρ€Π°Π·Π±ΠΎΡ€Π° Π΄Π°Π½Π½Ρ‹Ρ… ΠΈΠ· PCAP-Π΄Π°ΠΌΠΏΠΎΠ². Π’Π°ΠΊΠΆΠ΅ прСдоставляСтся API, ΠΏΠΎΠ·Π²ΠΎΠ»ΡΡŽΡ‰ΠΈΠΉ ΠΏΠ΅Ρ€Π΅Π΄Π°Π²Π°Ρ‚ΡŒ Π² сторонниС прилоТСния Π΄Π°Π½Π½Ρ‹Π΅ ΠΎ Π·Π°Ρ…Π²Π°Ρ‡Π΅Π½Π½Ρ‹Ρ… ΠΏΠ°ΠΊΠ΅Ρ‚Π°Ρ… Π² Ρ„ΠΎΡ€ΠΌΠ°Ρ‚Π΅ PCAP ΠΈ Ρ€Π°Π·ΠΎΠ±Ρ€Π°Π½Π½Ρ‹Ρ… сСансах Π² Ρ„ΠΎΡ€ΠΌΠ°Ρ‚Π΅ JSON.

Доступна систСма индСксации сСтСвого Ρ‚Ρ€Π°Ρ„ΠΈΠΊΠ° Arkime 3.1

Arkime состоит ΠΈΠ· Ρ‚Ρ€Ρ‘Ρ… Π±Π°Π·ΠΎΠ²Ρ‹Ρ… ΠΊΠΎΠΌΠΏΠΎΠ½Π΅Π½Ρ‚ΠΎΠ²:

  • БистСма Π·Π°Ρ…Π²Π°Ρ‚Π° Ρ‚Ρ€Π°Ρ„ΠΈΠΊΠ° — ΠΌΠ½ΠΎΠ³ΠΎΠΏΠΎΡ‚ΠΎΡ‡Π½ΠΎΠ΅ ΠΏΡ€ΠΈΠ»ΠΎΠΆΠ΅Π½ΠΈΠ΅ Π½Π° языкС Π‘ΠΈ для ΠΌΠΎΠ½ΠΈΡ‚ΠΎΡ€ΠΈΠ½Π³Π° Ρ‚Ρ€Π°Ρ„ΠΈΠΊΠ°, записи Π΄Π°ΠΌΠΏΠΎΠ² Π² Ρ„ΠΎΡ€ΠΌΠ°Ρ‚Π΅ PCAP Π½Π° диск, Ρ€Π°Π·Π±ΠΎΡ€Π° Π·Π°Ρ…Π²Π°Ρ‡Π΅Π½Π½Ρ‹Ρ… ΠΏΠ°ΠΊΠ΅Ρ‚ΠΎΠ² ΠΈ ΠΎΡ‚ΠΏΡ€Π°Π²ΠΊΠΈ ΠΌΠ΅Ρ‚Π°Π΄Π°Π½Π½Ρ‹Ρ… ΠΎ сСансах (SPI, Stateful packet inspection) ΠΈ ΠΏΡ€ΠΎΡ‚ΠΎΠΊΠΎΠ»Π°Ρ… Π² кластСр Elasticsearch. Π’ΠΎΠ·ΠΌΠΎΠΆΠ½ΠΎ Ρ…Ρ€Π°Π½Π΅Π½ΠΈΠ΅ PCAP-Ρ„Π°ΠΉΠ»ΠΎΠ² Π² Π·Π°ΡˆΠΈΡ„Ρ€ΠΎΠ²Π°Π½Π½ΠΎΠΌ Π²ΠΈΠ΄Π΅.
  • Web-интСрфСйс Π½Π° Π±Π°Π·Π΅ ΠΏΠ»Π°Ρ‚Ρ„ΠΎΡ€ΠΌΡ‹ Node.js, ΠΊΠΎΡ‚ΠΎΡ€Ρ‹ΠΉ запускаСтся Π½Π° ΠΊΠ°ΠΆΠ΄ΠΎΠΌ сСрвСрС Π·Π°Ρ…Π²Π°Ρ‚Π° Ρ‚Ρ€Π°Ρ„ΠΈΠΊΠ° ΠΈ ΠΎΠ±Ρ€Π°Π±Π°Ρ‚Ρ‹Π²Π°Π΅Ρ‚ запросы, связанныС с доступом ΠΊ проиндСксированным Π΄Π°Π½Π½Ρ‹ΠΌ ΠΈ ΠΏΠ΅Ρ€Π΅Π΄Π°Ρ‡Π΅ΠΉ PCAP-Ρ„Π°ΠΉΠ»ΠΎΠ² Ρ‡Π΅Ρ€Π΅Π· API.
  • Π₯Ρ€Π°Π½ΠΈΠ»ΠΈΡ‰Π΅ ΠΌΠ΅Ρ‚Π°Π΄Π°Π½Π½Ρ‹Ρ… Π½Π° Π±Π°Π·Π΅ Elasticsearch.

Доступна систСма индСксации сСтСвого Ρ‚Ρ€Π°Ρ„ΠΈΠΊΠ° Arkime 3.1

Π’ Π½ΠΎΠ²ΠΎΠΌ выпускС:

  • Π”ΠΎΠ±Π°Π²Π»Π΅Π½Π° ΠΏΠΎΠ΄Π΄Π΅Ρ€ΠΆΠΊΠ° ΠΏΡ€ΠΎΡ‚ΠΎΠΊΠΎΠ»ΠΎΠ² IETF QUIC, GENEVE, VXLAN-GPE.
  • Π”ΠΎΠ±Π°Π²Π»Π΅Π½Π° ΠΏΠΎΠ΄Π΄Π΅Ρ€ΠΆΠΊΠ° Ρ‚ΠΈΠΏΠ° Q-in-Q (Double VLAN), ΠΏΠΎΠ·Π²ΠΎΠ»ΡΡŽΡ‰Π΅Π³ΠΎ ΠΈΠ½ΠΊΠ°ΠΏΡΡƒΠ»ΠΈΡ€ΠΎΠ²Π°Ρ‚ΡŒ Ρ‚Π΅Π³ΠΈ VLAN Π² Ρ‚Π΅Π³ΠΈ Π²Ρ‚ΠΎΡ€ΠΎΠ³ΠΎ уровня для Ρ€Π°ΡΡˆΠΈΡ€Π΅Π½ΠΈΡ числа VLAN-ΠΎΠ² Π΄ΠΎ 16 ΠΌΠ»Π½.
  • Π”ΠΎΠ±Π°Π²Π»Π΅Π½Π° ΠΏΠΎΠ΄Π΄Π΅Ρ€ΠΆΠΊΠ° Ρ‚ΠΈΠΏΠ° ΠΏΠΎΠ»Π΅ΠΉ «float».
  • ΠœΠΎΠ΄ΡƒΠ»ΡŒ записи Π² Amazon Elastic Compute Cloud ΠΏΠ΅Ρ€Π΅Π²Π΅Π΄Ρ‘Π½ Π½Π° использованиС ΠΏΡ€ΠΎΡ‚ΠΎΠΊΠΎΠ»Π° IMDSv2 (Instance Metadata Service).
  • ΠŸΡ€ΠΎΠ²Π΅Π΄Ρ‘Π½ Ρ€Π΅Ρ„Π°ΠΊΡ‚ΠΎΡ€ΠΈΠ½Π³ ΠΊΠΎΠ΄Π° для добавлСния UDP-Ρ‚ΡƒΠ½Π½Π΅Π»Π΅ΠΉ.
  • Π”ΠΎΠ±Π°Π²Π»Π΅Π½Π° ΠΏΠΎΠ΄Π΄Π΅Ρ€ΠΆΠΊΠ° elasticsearchAPIKey ΠΈ elasticsearchBasicAuth.

Π˜ΡΡ‚ΠΎΡ‡Π½ΠΈΠΊ: opennet.ru

Π”ΠΎΠ±Π°Π²ΠΈΡ‚ΡŒ ΠΊΠΎΠΌΠΌΠ΅Π½Ρ‚Π°Ρ€ΠΈΠΉ