Avaldatud on Arkime 5.0 süsteemi versioon, mis on mõeldud võrgupakettide püüdmiseks, salvestamiseks ja indekseerimiseks. See pakub tööriistu liikluse voogude visuaalseks hindamiseks ja võrgutegevust puudutava teabe otsimiseks. Alguses töötas projekt välja ettevõte AOL eesmärgiga luua avatud alternatiiv kommertsiaalsetele võrgupakettide töötlemise platvormidele, toetades juurutamist oma serverites ning suudab hallata liiklust kiirusel kuni kümme gigabitti sekundis. Paketi püüdmise komponent on kirjutatud C keeles, kasutades Node.js/JavaScripti kasutajaliidese jaoks. Allikakood levitatakse Apache 2.0 litsentsi alusel. Toetatakse tööd Linuxis ja FreeBSD-s. Valmis paketid on ette valmistatud Arch Linuxi, RHEL/CentOS-i ja Ubuntu jaoks.
Arkime sisaldab tööriistu liikluse püüdmiseks ja indekseerimiseks PCAP formaadis, samuti pakub kiirete andmete juurdepääsu indekseeritud andmetele. Standardse PCAP formaadi kasutamine lihtsustab märkimisväärselt integreerimist olemasolevate liikluse analüsaatoritega, nagu Wireshark. Salvestatavate andmete maht on piiratud ainult olemasoleva ketta ruumiga. Seansside metainformatsioon indekseeritakse Elasticsearch või OpenSearch mootoriga klastris. Pakettide püüdmiseks mõeldud komponent töötab mitme niidi režiimis ja lahendab PCAP-dumpide jälgimise, salvestamise, püütud pakettide eemaldamise ning seansside (SPI, Stateful packet inspection) ja protokollide metainformatsiooni saatmise Elasticsearch/OpenSearch klastrisse. PCAP-failide salvestamine on võimalik krüpteeritud kujul.
Kogutud teabe analüüsimiseks pakutakse veebiliidest, mis võimaldab navigeerida, otsida ja eksportida valikuid. Veebiliideses on mitu vaaterežiimi — alates üldstatistikast, ühenduste kaardist ja visuaalsetest graafikutest, kus on esitatud võrgutegevuse muutused, kuni tööriistadeni üksikute seansside uurimiseks, protokollide lõikes tegevuse analüüsimiseks ja andmete analüüsiks PCAP-dumpidest. Saadaval on ka API, mis võimaldab edastada kolmandatele rakendustele püütud pakettide andmeid PCAP formaadis ja analüüsitud seansside andmeid JSON formaadis.
Uues versioonis:
- Lisatud on võimalus saata kombineeritud päringuteavet palvel Cont3xt, et koguda samal ajal mitme objekti kohta teavet erinevatest avatud allikatest (OSINT).
- Lisatud on JA4 ja JA4+ ehk liiklusjälgimise meetodite tugi võrguprotokollide ja rakenduste määramiseks.
- Sessiooni üksikasjade ploki kujundust on muudetud, vähendades mittekasutatavat ruumi ja rakendades kahe veeru paigutust suurtele ekraanidele.
- Vahelehtedele Failid, Ajalugu ja Statistika on lisatud rippmenüüd, et otsida samaaegselt mitmest statistika vaatamise liidesest (Viewer).
- Autentimissüsteem on ühtlustatud ja eraldi moodulisse eraldatud, mida nüüd kasutatakse kõigis Arkime rakendustes. Anonüümse autentimise režiimi asemel on vaikimisi kasutusele võetud digest meetod. Lisatud on uued autentimise režiimid: basic, form, basic+form, basic+oidc, headerOnly, header+digest ja header+basic.
- Kõik rakendused on viidud üle ühtsesse konfiguratsioonisüsteemi, mis toetab seadistuste töötlemist erinevates formaatides (ini, json, yaml) ja suudab laadida seadistusi erinevatest allikatest, näiteks diskilt, üle võrgu HTTPS kaudu või OpenSearchi/Elasticsearchi kaudu.
- Lisatud on salvestatud (offline) PCAP-dumpide importimise tugi, mis võimaldab nende üleslaadimist URL-i kaudu HTTPS-i või Amazon S3 ladustamisest, ilma et oleks tingimata vaja neid eelnevalt kohalikule süsteemile salvestada.
Allikas: opennet.ru
