Objavljen je izdanje sustava za hvatanje, pohranu i indeksiranje mrežnih paketa Arkime 5.0, koji pruža alate za vizualnu analizu protoka prometa i pretragu informacija vezanih uz mrežnu aktivnost. Izvorno je projekt razvijen od strane AOL-a s ciljem stvaranja otvorene zamjene za komercijalne platforme obrade mrežnih paketa, podržavajući implementaciju na vlastitim poslužiteljima i sposobnu za skaliranje kako bi obradila promet brzinama od desetaka gigabita u sekundi. Kod komponente za hvatanje prometa napisan je na jeziku C, dok je sučelje implementirano u Node.js/JavaScript. Izvorni kodovi distribuiraju se pod licencom Apache 2.0. Podržava rad u Linuxu i FreeBSD-u. Spremni paketi su pripremljeni za Arch Linux, RHEL/CentOS i Ubuntu.
Arkime uključuje alate za hvatanje i indeksiranje prometa u formatu PCAP, kao i pruža sredstva za brzi pristup indeksiranim podacima. Korištenje standardnog formata PCAP značajno pojednostavljuje integraciju s postojećim analizatorima prometa, kao što je Wireshark. Obujam pohranjenih podataka ograničen je samo veličinom dostupnog diskovnog niza. Metapodaci o sesijama indeksiraju se u klasteru zasnovanom na Elasticsearch ili OpenSearch motoru. Komponenta za hvatanje prometa radi u više niti i rješava zadatke praćenja, snimanja PCAP dumpova na disk, analize uhvaćenih paketa i slanja metapodataka o sesijama (SPI, Stateful packet inspection) i protokolima u klaster Elasticsearch/OpenSearch. Moguće je pohranjivanje PCAP datoteka u šifriranom obliku.
Za analizu prikupljenih informacija nudi se web-sučelje koje omogućava navigaciju, pretraživanje i izvoz uzoraka. U web-sučelju predviđeno je nekoliko načina pregleda — od opće statistike, karte veza i vizualnih grafikona s podacima o promjenama mrežne aktivnosti do alata za analizu pojedinačnih sesija, analize aktivnosti s obzirom na korištene protokole i analizu podataka iz PCAP dumpova. Također se nudi API koji omogućava prijenos podataka o uhvaćenim paketima u formatu PCAP i analiziranim sesijama u formatu JSON u vanjske aplikacije.
U novoj verziji:
- Dodana je mogućnost slanja kombiniranih pretraživačkih zahtjeva informacija putem usluge Cont3xt za istovremeno prikupljanje dostupnih informacija iz različitih otvorenih izvora (OSINT) o više objekata.
- Dodana je podrška za metode oblikovanja potpisa prometa JA4 i JA4+ za određivanje mrežnih protokola i aplikacija.
- Izgled bloka s detaljnim informacijama o sesiji izmijenjen je tako da su minimizirani neiskorišteni prostori i implementirana je dvokolosiječna kompozicija za velike ekrane.
- Na kartice Files, History i Stats dodani su padajući blokovi za pretraživanje u više instanci sučelja za pregled statistike (Viewer).
- Sustav autorizacije je ujedinjen i izdvojen u poseban modul, koji se sada koristi u svim aplikacijama Arkime. Umjesto anonimnog načina autorizacije prema defaultu, aktivirana je metoda digest. Dodani su novi načini autorizacije: basic, form, basic+form, basic+oidc, headerOnly, header+digest i header+basic.
- Sve aplikacije prebačene su na ujedinjeni podsustav konfiguracije, koji podržava obradu postavki u različitim formatima (ini, json, yaml) i sposoban je učitati postavke iz različitih izvora, kao što su s diska, putem mreže preko HTTPS-a ili iz OpenSearch/Elasticsearch.
- Dodana je podrška za uvoz spremljenih (offline) PCAP snimaka s njihovim učitavanjem putem URL-a preko HTTPS-a ili iz skladišta Amazon S3, bez potrebe za prethodnim spremanjem na lokalnom sustavu.
Izvor: opennet.ru
