Arkime 5.0 er blevet lanceret, en systemløsning til indsamling, lagring og indeksering af netværkspakker, som tilbyder værktøjer til visuel vurdering af trafikstrømme og søgning efter oplysninger relateret til netværksaktivitet. Projektet blev oprindeligt udviklet af AOL med det formål at skabe et åbent alternativ til kommercielle platforme til behandling af netværkspakker, der understøtter implementering på egne servere og kan skaleres til at håndtere trafik med hastigheder på titusinder af gigabit pr. sekund. Koden til trafikinspirator-komponenten er skrevet i C, mens grænsefladen er implementeret i Node.js/JavaScript. Kildekoderne distribueres under Apache 2.0-licensen. Der støttes drift i Linux og FreeBSD. Færdige pakker er blevet forberedt til Arch Linux, RHEL/CentOS og Ubuntu.
Arkime inkluderer værktøjer til indsamling og indeksering af trafik i PCAP-format samt tilbyder midler til hurtig adgang til de indekserede data. Anvendelsen af PCAP-formatet forenkler integrationen med eksisterende trafikanalysatorer som Wireshark. Mængden af gemte data er kun begrænset af størrelsen på det tilgængelige diskarray. Metadata om sessioner indekseres i en klynge baseret på Elasticsearch eller OpenSearch motoren. Komponentet til trafikindsamling kører i multitrådede operationer og løser opgaver som overvågning, optagelse af PCAP-dumps på disk, analyse af indsamlede pakker og sending af metadata om sessioner (SPI, Statefull packet inspection) og protokoller til Elasticsearch/OpenSearch klyngen. Det er muligt at gemme PCAP-filer i krypteret format.
Til analyse af den opsamlede information tilbydes en webgrænseflade, der muliggør navigation, søgning og eksport af udtræk. Webgrænsefladen inkluderer flere visningsmuligheder — fra generel statistik, kort over forbindelser og visuelle grafer med data om ændringer i netværksaktivitet til værktøjer til at udforske individuelle sessioner, analysere aktivitet opdelt efter anvendte protokoller samt at nedbryde data fra PCAP-dumps. Der tilbydes også et API, der muliggør overførsel af data om opsamlede pakker i PCAP-format og analyserede sessioner i JSON-format til tredjepartsapplikationer.
I den nye version:
- Muligheden for at sende kombinerede søgeforespørgsler via Cont3xt-tjenesten er blevet tilføjet for at indsamle tilgængelig OSINT-information fra forskellige åbne kilder samtidigt om flere objekter.
- Understøttelse af metoder til trafikfingeraftryk JA4 og JA4+ til identifikation af netværksprotokoller og applikationer er blevet tilføjet.
- Udformningen af blokken med detaljerede oplysninger om sessionen er ændret, hvor det ubrugte rum er minimeret, og en to-spalter layout er implementeret til større skærme.
- I fanerne Files, History og Stats er der tilføjet dropdown-blokke til at søge samtidigt i flere forekomster af grænsefladen til visning af statistik (Viewer).
- Autoriseringssystemet er blevet standardiseret og adskilt i en særskilt modul, som nu bruges i alle Arkime-applikationer. I stedet for anonym autorisation er der som standard aktiveret en digest-metode. Nye autoriseringsmetoder er blevet tilføjet: basic, form, basic+form, basic+oidc, headerOnly, header+digest og header+basic.
- Alle applikationer er overgået til et standardiseret konfiguration subsystem, der understøtter behandling af indstillinger i forskellige formater (ini, json, yaml) og som kan indlæse indstillinger fra forskellige kilder, for eksempel fra disk, over netværket via HTTPS eller fra OpenSearch/Elasticsearch.
- Support for import af gemte (offline) PCAP-dumps er blevet tilføjet, så de kan uploades via URL gennem HTTPS eller fra Amazon S3-lageret, uden at det er nødvendigt at gemme dem på det lokale system først.
Kilde: opennet.ru
