Netflow/IPFIX/sFlow koguja Xenoeye väljaanne 25.02

Avaldatud on Netflow/IPFIX/sFlow kogumise Xenoeye 25.02 versioon. Koguja võimaldab koguda erinevatelt võrguseadmetelt liiklusvoogude statistikat, mis edastatakse Netflow v5, v9, IPFIX ja sFlow protokollide abil, töödelda andmeid, genereerida aruandeid ja koostada graafikuid. Projekti tuum on kirjutatud C keeles, kood levitatakse ISC litsentsi alusel.

Koguja agregeerib võrguliiklust valitud väljade järgi ja ekspordib andmed PostgreSQL-i. Nende andmete põhjal saab koostada aruandeid, graafikuid (kasutades gnuplot'i, Python + Matplotlib skripte) või armatuurlaudu Grafanas. Lisaks sellele võib koguja käivitada kasutaja skripte, kui lävenditest ületatakse või kui liiklus langeb madalamale lävendist.

Aegade hetkelise liikluskiirusena kasutatakse libisevaid keskmisi. Mehhanism, mis jälgib läve ületamist, on mõeldud DoS/DDoS-rünnakutest teavitamiseks ja BGP-teateid (Flowspec või Blackhole) abil summutamise käivitamiseks. Kogujaga tuleb kaasa näidis Telegrami roboti skript, mis suudab teavitada messenger’is anomaaliatest. Koguja ei ole ressursinõudlik, see suudab töödelda väikeste võrkude liiklust Raspberry/Orange Pi või virtuaalmasinas, kus on 2–4 GB RAM-i.

Uue versiooni muudatused:

• Lisatud on tugi sFlow protokollile, mille jaoks on rakendatud võimalust analüüsida võrgupakettide sisu (payload) ja seal olevat teavet DNS-i ja TLS-i (HTTPS) SNI kohta. Hostid ja andmekeskuste omanikud võivad kasutada seda võimalust phishingu vastu võitlemiseks ja selle hindamiseks, millised domeenid ja saidid on võrgus majutatud.
• Lisatud on tugi sisemiste/jerarhiliste monitooringu objektide jaoks, mis lihtsustavad teatud suurte objektide konfiguratsioone ja parandavad töötlemise jõudlust võrreldes "tasapinnalise" objektide loendiga.
• Lisatud on võimalus klassifitseerida liideseid — valitud võrguedastusliideste liiklust ruuterites või lülitites saab ignoreerida või töödelda erilisel viisil.
• Lisatud on võimalus jälgida mitte ainult liikluspiike, vaid ka langusi alla läve, mis võib olla kasulik eraldi serverid või teenuste jälgimiseks.
• Lisatud on võimalus muuta liikluspiiranguid ilma kogujat taaskäivitamata. Mehhanism on mõeldud olukordade jaoks, kus kasutajad arvutavad piirangud automaatselt, tuginedes varasemate perioodide statistikale, ja uuendavad perioodiliselt piiranguid kogujas.
• Lisatud on LXC-konteiner kiireks koguja juurutamiseks ja testimiseks. Konteiner sisaldab kogijat, millel on eelnevalt paigaldatud jälgimisobjektid, PostgreSQL ja Grafana.

Allikas: opennet.ru