Avaldatud on Arkime 5.0 pakettide kogumise, salvestamise ja indekseermise süsteemi versioon, mis pakub tööriistu liikluse voogude visuaalseks hindamiseks ja võrguaktiivsusega seotud teabe leidmiseks. Alguses töötati projekt välja ettevõtte AOL poolt, et luua avatud asendus kommertstootele, mis toetab paigaldamist oma serverites ja suudab skaleeruda, et töödelda liiklust kiirusel, mis ulatub kümnete gigabittide sekundis. Liikluse kogumise komponent on kirjutatud C keeles, liides on teostatud Node.js/JavaScriptis. Allikakood levitatakse Apache 2.0 litsentsi alusel. Töö on toetatud Linuxis ja FreeBSD-s. Valmistehtud paketid on ette valmistatud Arch Linuxi, RHEL/CentOS-i ja Ubuntu jaoks.
Arkime sisaldab tööriistu liiklusandmete salvestamiseks ja indekseerimiseks PCAP-formaadis ning pakub kiiret juurdepääsu indekseeritud andmetele. PCAP-formaadi kasutamine lihtsustab oluliselt integreerimist olemasolevate liiklusanalüsaatoritega, nagu Wireshark. Hoitava andmemahu suurus sõltub ainus ainult olemasoleva salvestusruumi mahust. Seansside metainformatsioon indekseeritakse Elasticsearchi või OpenSearchi põhinevas klastris. Liiklusandmete salvestamise komponent töötab mitme niidi režiimil ja lahendab probleemid monitooringuks, PCAP-dumpide salvestamiseks kettale, salvestatud pakettide töötlemiseks ning seansside (SPI, Stateful packet inspection) ja protokollide metainformatsiooni edastamiseks Elasticsearchi/OpenSearchi klastrisse. PCAP-faile on võimalik salvestada krüpteeritud kujul.
Kogutud teabe analüüsimiseks on saadaval veebiliides, mis võimaldab navigeerida, otsida ja eksportida valikuid. Veebiliideses on mitu vaaterežiimi — alates üldstatistikast, ühenduste kaardist ja visuaalsete graafikutega, mis näitavad võrguaktiivsuse muutusi, kuni tööriistadega, mis võimaldavad uurida üksikseansse, analüüsida aktiivsust kasutatavate protokollide lõikes ja analüüsida PCAP-dumpidest saadud andmeid. Samuti on saadaval API, mis võimaldab edastada kolmandate osapoolte rakendustele andmeid salvestatud pakettide kohta PCAP formaadis ja analüüsitud seansside kohta JSON formaadis.
Uues versioonis:
- Lisatud võimalus edastada kombineeritud otsingupäringute teavet Cont3xt teenuse kaudu, et koguda juurdepääsetavat erinevates avatud allikates (OSINT) teavet korraga mitu objekti kohta.
- Lisatud toetus liiklusjälgede genereerimise meetoditele JA4 ja JA4+, et määrata võrgustiku protokolle ja rakendusi.
- Detailinfo ploki kujundus on muudetud, kus on vähendatud kasutamata ruumi ja suurte ekraanide jaoks on rakendatud kahe veeru paigutus.
- Vahelehtedele Files, History ja Stats on lisatud rippblokid teabeotsinguks samaaegselt mitmes kasutajaliideses statistika vaatamiseks (Viewer).
- Autentimise süsteem on ühtlustatud ja eraldi moodulina välja toodud, mida nüüd kasutatakse kõigis Arkime rakendustes. Vaikimisi on anonüümne autentimismeetod asendatud digest-meetodiga. Uued autentimismeetodid: basic, form, basic+form, basic+oidc, headerOnly, header+digest ja header+basic.
- Kõik rakendused on üleviidud ühtsesse konfiguratsioonialusesse, mis toetab seadete töötlemist erinevates formaatides (ini, json, yaml) ja suudab laadida seadeid erinevatest allikatest, näiteks kettalt, võrgu kaudu läbi HTTPS või OpenSearch/Elasticsearch.
- Toetatud on salvestatud (offline) PCAP-dumpide import, laadides need URL-i kaudu HTTPS või Amazon S3 lõppsalvestusest, ilma et peaks neid eelnevalt kohaliku süsteemi salvestama.
Allikas: opennet.ru
