Byl vydán release systému pro zachytávání, ukládání a indexaci síťových paketů Arkime 5.0, který poskytuje nástroje pro vizuální hodnocení toků dat a vyhledávání informací spojených se síťovou aktivitou. Projekt byl původně vyvinut společností AOL s cílem vytvořit otevřenou alternativu k komerčním platformám pro zpracování síťových paketů, umožňující nasazení na vlastních serverech a schopnou škálovat pro zpracování datového toku rychlostmi v desítkách gigabitů za sekundu. Kód komponenty pro zachycování dat je napsán v jazyce C, zatímco rozhraní je realizováno na Node.js/JavaScript. Zdrojové kódy jsou distribuovány pod licencí Apache 2.0. Podporována je práce v Linuxu a FreeBSD. Hotové balíčky byly připraveny pro Arch Linux, RHEL/CentOS a Ubuntu.
Arkime zahrnuje nástroje pro zachytávání a indexaci dat v formátu PCAP, a také poskytuje prostředky pro rychlý přístup k proindexovaným datům. Použití standardního formátu PCAP značně usnadňuje integraci s existujícími analyzátory dat, jako je Wireshark. Velikost uložených dat je omezena pouze velikostí dostupného diskového pole. Metadata o sezeních jsou indexována v clusteru na bázi enginu Elasticsearch nebo OpenSearch. Komponenta pro zachycení dat pracuje v multithreadovém režimu a řeší úkoly monitorování, ukládání PCAP dumpů na disk, analýzu zachycených paketů a odesílání metadata o sezeních (SPI, Stateful packet inspection) a protokolech do clusteru Elasticsearch/OpenSearch. Možné je uchování PCAP souborů v zašifrované podobě.
Pro analýzu nasbíraných informací je k dispozici webové rozhraní, které umožňuje navigaci, vyhledávání a export výběrů. V webovém rozhraní je k dispozici několik režimů zobrazení — od celkové statistiky, mapy připojení a přehledných grafů se záznamy o změnách síťové aktivity až po nástroje pro zkoumání jednotlivých relací, analýzu aktivity podle používaných protokolů a analýzu dat z PCAP dumpů. Také je poskytováno API, které umožňuje přenášet do externích aplikací data o zachycených paketech ve formátu PCAP a analyzovaných relacích ve formátu JSON.
V nové verzi:
- Byla přidána možnost odesílat kombinované vyhledávací dotazy informací prostřednictvím služby Cont3xt, aby bylo možné současně shromažďovat dostupné informace z různých otevřených zdrojů (OSINT) o několika objektech.
- Byla přidána podpora metod pro vytváření otisků dat JA4 a JA4+ pro určení síťových protokolů a aplikací.
- Byl změněn design bloku s podrobnými informacemi o sezení, ve kterém bylo minimalizováno nevyužité místo a byla realizována dvousloupcová struktura pro velké displeje.
- Do záložek Files, History a Stats byly přidány rozbalovací bloky pro vyhledávání současně ve více instancích rozhraní pro zobrazení statistik (Viewer).
- Systém autorizace byl sjednocen a vyčleněn do samostatného modulu, který nyní používají všechny aplikace Arkime. Místo anonymního režimu je nyní jako výchozí metoda použita digest. Byly přidány nové režimy autorizace: basic, form, basic+form, basic+oidc, headerOnly, header+digest a header+basic.
- Všechny aplikace byly převedeny na sjednocenou podsystem konfigurace, která podporuje zpracování nastavení v různých formátech (ini, json, yaml) a je schopná načítat nastavení z různých zdrojů, například z disku, přes síť přes HTTPS nebo z OpenSearch/Elasticsearch.
- Byla přidána podpora importu uložených (offline) PCAP dumpů s jejich načítáním přes URL pomocí HTTPS nebo z úložiště Amazon S3, bez potřeby předchozího uložení na lokální systém.
Zdroj: opennet.ru
