Byla zveřejněna verze sběrače Netflow/IPFIX/sFlow Xenoeye 25.02. Sběrač umožňuje shromažďovat ze různých síťových zařízení statistiky o toku provozu, které se přenášejí pomocí protokolů Netflow v5, v9, IPFIX a sFlow, zpracovávat data, generovat zprávy a vytvářet grafy. Jádro projektu je napsáno v jazyce C, kód je šířen pod licencí ISC.
Sběrač agreguje síťový provoz podle vybraných polí a exportuje data do PostgreSQL. Na základě těchto dat lze vytvářet zprávy, grafy (použitím gnuplot, skripty v Pythonu + Matplotlib) nebo panely v Grafaně. Kromě toho sběrač může spouštět uživatelské skripty při překročení prahových hodnot nebo při poklesu provozu pod prahové hodnoty.
Pro výpočet aktuální rychlosti provozu se používají klouzavé průměry. Mechanismus sledování překročení prahů je určen k upozornění na DoS/DDoS útoky a k aktivaci potlačení pomocí BGP oznámení (Flowspec nebo Blackhole). Společně se sběračem je dodán příklad skriptu Telegram bota, který může upozorňovat na anomálie v messengeru. Sběrač není náročný na zdroje, může zpracovávat provoz malých sítí na Raspberry/Orange Pi nebo ve virtuálním stroji s 2-4 GB RAM.
Změny v nové verzi:
- Byla přidána podpora protokolu sFlow, pro který byla realizována možnost analyzovat obsah (payload) síťových paketů a extrahovat z něj informace o DNS a TLS (HTTPS) SNI. Poskytovatelé hostingu a vlastníci datových center mohou tuto funkci využít k boji proti phishingu a k určení toho, jaké domény a webové stránky jsou hostovány v síti.
- Byla přidána podpora vnořených/hierarchických monitorovacích objektů, které usnadňují některá nastavení s velkým počtem objektů a zvyšují výkon zpracování ve srovnání s "plochým" seznamem monitorovacích objektů.
- Byla přidána možnost klasifikace rozhraní – provoz vybraných síťových rozhraní směrovačů nebo přepínačů lze ignorovat nebo zpracovávat speciálním způsobem.
- Byla přidána možnost sledovat nejen nárůst provozu, ale také pokles pod prahové hodnoty, což může být užitečné pro nepřímé monitorování jednotlivých servery nebo služeb.
- Byla přidána možnost měnit prahové hodnoty provozu bez restartování sběrače. Tento mechanismus je určen pro situace, kdy uživatelé automaticky vypočítávají prahové hodnoty na základě statistik z předchozích období a pravidelně aktualizují prahy ve sběrači.
- Byl přidán LXC kontejner pro rychlé nasazení a testování sběrače. Součástí kontejneru je sběrač s předinstalovanými objekty monitorování, PostgreSQL a Grafana.
Zdroj: opennet.ru
