نسخه ای از سیستم ضبط، ذخیره و نمایه سازی بسته های شبکه Arkime 3.1 آماده شده است که ابزارهایی برای ارزیابی بصری جریان ترافیک و جستجوی اطلاعات مربوط به فعالیت شبکه ارائه می دهد. این پروژه در ابتدا توسط AOL با هدف ایجاد یک جایگزین باز و قابل استقرار برای پلتفرم‌های پردازش بسته‌های شبکه تجاری، با قابلیت مقیاس‌پذیری برای پردازش ترافیک با سرعت ده‌ها گیگابیت در ثانیه توسعه یافت. کد جزء جذب ترافیک به زبان C نوشته شده است و رابط در Node.js/JavaScript پیاده سازی شده است. کد منبع تحت مجوز آپاچی 2.0 توزیع شده است. از کار بر روی لینوکس و FreeBSD پشتیبانی می کند. بسته های آماده برای Arch، CentOS و Ubuntu آماده شده است.
Arkime شامل ابزارهایی برای ضبط و نمایه سازی ترافیک در قالب PCAP بومی است و همچنین ابزارهایی برای دسترسی سریع به داده های فهرست شده ارائه می دهد. استفاده از قالب PCAP ادغام با تحلیلگرهای ترافیک موجود مانند Wireshark را بسیار ساده می کند. حجم داده های ذخیره شده تنها با اندازه آرایه دیسک موجود محدود می شود. ابرداده‌های جلسه در یک خوشه بر اساس موتور Elasticsearch نمایه‌سازی می‌شوند.
برای تجزیه و تحلیل اطلاعات انباشته شده، یک رابط وب ارائه شده است که به شما امکان می دهد نمونه ها را پیمایش، جستجو و صادر کنید. رابط وب چندین حالت مشاهده را فراهم می کند - از آمار کلی، نقشه های اتصال و نمودارهای بصری با داده های مربوط به تغییرات فعالیت شبکه گرفته تا ابزارهایی برای مطالعه جلسات فردی، تجزیه و تحلیل فعالیت در زمینه پروتکل های مورد استفاده و تجزیه داده ها از زباله های PCAP. همچنین یک API ارائه شده است که به شما امکان می‌دهد داده‌های مربوط به بسته‌های گرفته شده را با فرمت PCAP و جلسات جداشده را با فرمت JSON به برنامه‌های شخص ثالث ارسال کنید.
Arkime از سه جزء اصلی تشکیل شده است:
- سیستم ضبط ترافیک یک برنامه C چند رشته ای برای نظارت بر ترافیک، نوشتن Dump ها با فرمت PCAP روی دیسک، تجزیه بسته های ضبط شده و ارسال ابرداده در مورد جلسات (SPI، بازرسی بسته Stateful) و پروتکل ها به خوشه Elasticsearch است. امکان ذخیره فایل های PCAP به صورت رمزگذاری شده وجود دارد.
- یک رابط وب مبتنی بر پلتفرم Node.js، که روی هر سرور جذب ترافیک اجرا می‌شود و درخواست‌های مربوط به دسترسی به داده‌های فهرست‌شده و انتقال فایل‌های PCAP از طریق API را پردازش می‌کند.
- ذخیره سازی ابرداده بر اساس Elasticsearch.
در نسخه جدید:
- پشتیبانی از پروتکل های IETF QUIC، GENEVE، VXLAN-GPE اضافه شده است.
- پشتیبانی از نوع Q-in-Q (Double VLAN) اضافه شده است که به شما امکان می دهد تگ های VLAN را در تگ های سطح دوم کپسوله کنید تا تعداد VLAN ها را به 16 میلیون افزایش دهید.
- پشتیبانی از نوع فیلد "float" اضافه شده است.
- ماژول ضبط در Amazon Elastic Compute Cloud برای استفاده از پروتکل IMDSv2 (Instance Metadata Service) تبدیل شده است.
- کد برای افزودن تونل‌های UDP بازسازی شده است.
- پشتیبانی از elasticsearchAPIKey و elasticsearchBasicAuth اضافه شده است.
منبع: opennet.ru