Der Netflow-Kollektor Xenoeye ist verfügbar, der es ermöglicht, Statistiken über den Datenverkehr von verschiedenen Netzwerkgeräten zu sammeln, die mit den Protokollen Netflow v9 und IPFIX übermittelt werden. Er verarbeitet die Daten, generiert Berichte und erstellt Grafiken. Außerdem kann der Kollektor benutzerdefinierte Skripte ausführen, wenn Schwellenwerte überschritten werden. Der Kern des Projekts ist in C geschrieben, der Code wird unter der ISC-Lizenz verbreitet.
Funktionen des Kollektors:
- Die aggregierten Daten nach den erforderlichen Netflow-Feldern werden in PostgreSQL exportiert. Die vorläufige Aggregation erfolgt innerhalb des Kollektors.
- Aus der Box wird nur die grundlegende Menge an Netflow-Feldern unterstützt, aber fast jedes Feld kann hinzugefügt werden.
- Die Leistung des Kollektors kann je nach Art des Datenverkehrs und der Berichte mehrere hunderttausend "flows per second" auf einer CPU erreichen. Das Lastverteilungsmodell erfolgt pro Gerät (Router) und pro Flow.
- Der Kollektor verwendet gleitende Durchschnitte zur Berechnung von Überschreitungen der Datenverkehrsgeschwindigkeit.
- Der Kollektor kann verwendet werden, um infizierte Hosts zu identifizieren (die E-Mail-Spam versenden, HTTP(S)-Floods oder SSH-Scanner), um plötzliche Anstiege bei DoS/DDoS-Angriffen zu erkennen.
- Netzwerkberichte können mit verschiedenen Tools visualisiert werden: gnuplot, Skripte in Python + Matplotlib, unter Verwendung von Grafana.
- Anders als viele moderne Kollektoren verwendet das Projekt kein Apache Kafka, Elastic usw., die Hauptberechnungen erfolgen innerhalb des Kollektors selbst.
Quelle: opennet.ru
