Der Netflow-Kollektor Xenoeye ist jetzt verfügbar und ermöglicht das Sammeln von Statistiken über den Datenverkehr von verschiedenen Netzgeräten, die über die Protokolle Netflow v9 und IPFIX übertragen werden. Der Kollektor verarbeitet die Daten, erstellt Berichte und visualisiert diese in Grafiken. Zudem kann er benutzerdefinierte Skripte ausführen, wenn bestimmte Schwellenwerte überschritten werden. Der Projektkern ist in C geschrieben und der Code wird unter der ISC-Lizenz verteilt.
Eigenschaften des Kollektors:
- Die aggregierten Daten nach den benötigten Netflow-Feldern werden in PostgreSQL exportiert. Die vorläufige Aggregation erfolgt innerhalb des Kollektors.
- Standardmäßig wird nur ein grundlegender Satz von Netflow-Feldern unterstützt, jedoch können nahezu beliebige Felder hinzugefügt werden.
- Die Leistungsfähigkeit des Kollektors kann, abhängig von der Art des Datenverkehrs und der Berichte, mehrere Hunderttausend „Flows pro Sekunde“ auf einem CPU erreichen. Das Lastverteilungsschema erfolgt nach Gerät (Router) pro Flow.
- Der Kollektor verwendet gleitende Durchschnitte zur Berechnung von Bandbreitenüberschreitungen.
- Der Collector kann verwendet werden, um infizierte Hosts zu identifizieren (die E-Mail-Spam, HTTP(S)-Floods oder SSH-Scanner versenden), und um plötzliche Anstiege bei DoS/DDoS-Angriffen zu erkennen.
- Netzberichte können mit verschiedenen Tools visualisiert werden: gnuplot, Python-Skripte + Matplotlib, oder mit Grafana.
- Im Gegensatz zu vielen modernen Collectoren verwendet das Projekt kein Apache Kafka, Elastic usw. Die Hauptberechnungen erfolgen innerhalb des Collectors selbst.
Quelle: opennet.ru
