Die neue Version des Arkime 5.0-Systems zur Erfassung, Speicherung und Indizierung von Netzwerkpaketen wurde veröffentlicht. Sie bietet Werkzeuge zur visuellen Analyse von Trafficströmen und zur Suche nach Informationen zu Netzwerkaktivitäten. Das Projekt wurde ursprünglich von AOL entwickelt, um eine offene Alternative zu kommerziellen Plattformen zur Verarbeitung von Netzwerkpaketen zu schaffen, die auf eigenen Servern implementiert werden kann und in der Lage ist, Traffic mit Geschwindigkeiten von mehreren Dutzend Gigabit pro Sekunde zu verarbeiten. Der Code für die Erfassung von Traffic wurde in C geschrieben, während die Benutzeroberfläche auf Node.js/JavaScript basiert. Der Quellcode wird unter der Apache 2.0-Lizenz vertrieben. Die Unterstützung für Linux und FreeBSD ist gegeben. Vorgefertigte Pakete stehen für Arch Linux, RHEL/CentOS und Ubuntu zur Verfügung.
Arkime beinhaltet Werkzeuge zur Erfassung und Indizierung von Verkehr im PCAP-Format und bietet zudem Mittel für einen schnellen Zugriff auf indizierte Daten. Die Verwendung des standardisierten PCAP-Formats erleichtert die Integration mit bestehenden Verkehrsanalysetools wie Wireshark erheblich. Der Speicherbedarf ist dabei nur durch die Größe des verfügbaren Speichermediums limitiert. Metadaten zu den Sessions werden in einem Cluster basierend auf der Elasticsearch- oder OpenSearch-Engine indiziert. Die Komponente zur Erfassung des Verkehrs arbeitet im Multithreading-Modus und erfüllt Aufgaben wie das Monitoring, das Speichern von PCAP-Dumps auf der Festplatte, die Analyse der erfassten Pakete und das Senden von Metadaten zu Sessions (SPI, Stateful Packet Inspection) und Protokollen an das Elasticsearch/OpenSearch-Cluster. Das Speichern von PCAP-Dateien in verschlüsselter Form ist ebenfalls möglich.
Für die Analyse der gesammelten Informationen steht eine Web-Oberfläche zur Verfügung, die Navigation, Suche und Export von Stichproben ermöglicht. In der Web-Oberfläche sind verschiedene Ansichtsmodi vorgesehen – von allgemeinen Statistiken, Verbindungsdiagrammen und anschaulichen Grafiken zur Veränderung der Netzwerkaktivität bis hin zu Werkzeugen für das Studium einzelner Sessions, die Analyse der Aktivität nach verwendeten Protokollen und die Aufbereitung der Daten aus PCAP-Dumps. Zudem wird eine API bereitgestellt, die es ermöglicht, Daten über erfasste Pakete im PCAP-Format und analysierte Sessions im JSON-Format an externe Anwendungen zu übermitteln.
In der neuen Version:
- Eine neue Möglichkeit wurde hinzugefügt, kombinierte Suchanfragen an den Cont3xt-Dienst zu senden, um gleichzeitig OSINT-Informationen über mehrere Objekte aus verschiedenen offenen Quellen zu sammeln.
- Unterstützung für die Methoden zur Bildung von Verkehrsunterschriften JA4 und JA4+ wurde hinzugefügt, um Netzwerkprotokolle und Anwendungen zu identifizieren.
- Das Layout des Detailbereichs für Sitzungen wurde geändert, um ungenutzten Raum zu minimieren und eine zweispaltige Anordnung für große Bildschirme umzusetzen.
- In den Registerkarten Files, History und Stats wurden Dropdown-Bereiche hinzugefügt, um gleichzeitig in mehreren Instanzen der Benutzeroberfläche nach Statistiken zu suchen (Viewer).
- Das Authentifizierungssystem wurde vereinheitlicht und in ein separates Modul ausgegliedert, das nun in allen Arkime-Anwendungen verwendet wird. Anstelle des anonymen Standard-Authentifizierungsmodus wird jetzt die Digest-Methode verwendet. Neue Authentifizierungsmodi wurden hinzugefügt: basic, form, basic+form, basic+oidc, headerOnly, header+digest und header+basic.
- Alle Anwendungen wurden auf ein einheitliches KonfigurationSubsystem umgestellt, das die Verarbeitung von Einstellungen in verschiedenen Formaten (ini, json, yaml) unterstützt und in der Lage ist, Einstellungen aus unterschiedlichen Quellen zu laden, z. B. vom Datenträger, über das Netzwerk via HTTPS oder aus OpenSearch/Elasticsearch.
- Unterstützung für den Import von gespeicherten (offline) PCAP-Dumps wurde hinzugefügt, die über eine URL via HTTPS oder aus Amazon S3 geladen werden können, ohne dass eine vorherige Speicherung auf dem lokalen System erforderlich ist.
Quelle: opennet.ru
