Valmis on Arkime 3.1 süsteemi väljaanne, mis hõlmab võrgupakettide salvestamise, säilitamise ja indekseerimise funktsioone. See pakub tööriistu liiklusvoogude visuaalseks hindamiseks ning teabe otsimiseks, mis on seotud võrgutegevusega. Alguses töötati projekt välja ettevõtte AOL poolt, et luua avatud ja enda serveritele paigaldatav alternatiiv kommertspakettide töötlemise platvormidele, mis suudavad skaleeruda, et töödelda liiklust tempos, mis ulatub kümnete gigabitide sekundis. Andmete salvestamise komponent on kirjutatud C keeles, samas kui liides on rakendatud Node.js/JavaScriptis. Algtekstid jagatakse välja Apache 2.0 litsentsi alusel. Tugi on saadaval Linuxi ja FreeBSD jaoks. Valmispaketid on ette valmistatud Archi, CentOSi ja Ubuntu jaoks.
Arkime sisaldab tööriistu liikluse salvestamiseks ja indekseerimiseks standardvormingus PCAP ning pakub kiireid juurdepääsu vahendeid indekseeritud andmetele. PCAP formaadi kasutamine lihtsustab oluliselt integreerimist olemasolevate liiklusanalüsaatoritega, nagu Wireshark. Salvestatavate andmete mahtu piirab ainult olemasoleva salvestusseadmestiku suurus. Seansside metaandmed indekseeritakse Elasticsearchi baasil asuvas klastris.
Kogutud teabe analüüsimiseks pakutakse veebiliidest, mis võimaldab navigeerida, otsida ja eksportida valikuid. Veebiliideses on mitu vaaterežiimi — alates üldstatistikast, ühenduste kaardist ja visuaalsetest graafikutest, kus on esitatud võrgutegevuse muutused, kuni tööriistadeni üksikute seansside uurimiseks, protokollide lõikes tegevuse analüüsimiseks ja andmete analüüsiks PCAP-dumpidest. Saadaval on ka API, mis võimaldab edastada kolmandatele rakendustele püütud pakettide andmeid PCAP formaadis ja analüüsitud seansside andmeid JSON formaadis.
Arkime koosneb kolmest põhikomponendist:
- Liikluse püüdmissüsteem — mitme lõimega C keeles loodud rakendus liikluse jälgimiseks, PCAP formaadis väljavõtete salvestamiseks kettale, püütud paketide analüüsimiseks ning seansside (SPI, Stateful packet inspection) ja protokollide metaandmete saatmiseks Elasticsearch klastri. PCAP failide salvestamine on võimalik krüpteeritud kujul.
- Node.js platvormil põhinev veebiliides, mis töötab igaühel, serveris liikluse salvestamiseks ja töötleb päringuid, mis on seotud juurdepääsuga indekseeritud andmetele ja PCAP-failide edastamisega API kaudu.
- Elasticsearchi põhine metaandmete salvestamine.
Uues väljaandes:
- Toe on lisatud protokollide IETF QUIC, GENEVE, VXLAN-GPE.
- Toe on lisatud Q-in-Q (Double VLAN) tüüpi, mis võimaldab kapseldada VLAN-täge teise taseme täägidesse, et laiendada VLAN-ide arvu kuni 16 miljonini.
- Toe on lisatud 'float' tüüpi väljade tugi.
- Amazon Elastic Compute Cloud'i salvestusmoodul on viidud üle IMDSv2 (Instance Metadata Service) protokolli kasutamisele.
- Koodi on refaktoeritud UDP-tunnelite lisamiseks.
- Toe on lisatud elasticsearchAPIKey ja elasticsearchBasicAuth tugi.
Allikas: opennet.ru
