Megjelent az Arkime 5.0 rendszer, amely a hálózati csomagok megfigyelésére, tárolására és indexálására szolgál, és eszközöket nyújt a forgalom vizuális értékelésére és a hálózati tevékenységgel kapcsolatos információk keresésére. A projektet eredetileg az AOL fejlesztette ki, hogy nyílt forráskódú alternatívát kínáljon a kereskedelmi hálózati csomagfeldolgozó platformok számára, amely képes a saját szervereken történő telepítésre, és képes mérni a forgalmat akár tíz gigabit/másodperc sebességgel is. A forgalom elfogásához szükséges kód C nyelven készült, míg az interfész Node.js/JavaScript alapú. A forráskód az Apache 2.0 licenc alatt érhető el. Támogatja a működést Linux és FreeBSD rendszereken. Elkészített csomagok érhetőek el Arch Linux, RHEL/CentOS és Ubuntu számára.
Az Arkime eszközöket tartalmaz a PCAP formátumú forgalom elfogására és indexálására, valamint gyors hozzáférést nyújt az indexált adatokhoz. A PCAP formátum használata jelentősen megkönnyíti a meglévő forgalomelemzőkkel való integrációt, mint például a Wireshark. A tárolt adatok mennyisége csupán a meglévő adattároló kapacitás mértékétől függ. A szekciók metaadatai Elasticsearch vagy OpenSearch motor alapú klaszterben kerülnek indexálásra. A forgalom elfogására szolgáló komponens több szálon működik, és megoldásokat kínál a forgalom figyelésére, PCAP dumpok lemezre mentésére, a rögzített csomagok elemzésére, valamint a szekciók (SPI, állapot alapú csomagelemzés) és protokollok metaadatainak Elasticsearch/OpenSearch klaszterbe történő küldésére. Lehetséges a PCAP fájlok titkosított formában történő tárolása.
Az összegyűjtött információk elemzésére egy webes felület áll rendelkezésre, amely lehetővé teszi a navigációt, keresést és minták exportálását. A webes felületen több megtekintési mód is elérhető — az általános statisztikáktól, a kapcsolatok térképén és a hálózati aktivitás változásaival kapcsolatos grafikonoktól kezdve, egészen az egyes szekciók vizsgálatáig, a használt protokollok szerinti aktivitás elemzéséhez és a PCAP dumpokból származó adatok feldolgozásáig. API is biztosított, amely lehetővé teszi a rögzített csomagok PCAP formátumban és a feldolgozott szekciók JSON formátumban történő külső alkalmazásokba történő továbbítását.
Az új verzióban:
- Lehetőség nyílt kombinált keresési lekérdezések küldésére a Cont3xt szolgáltatáson keresztül, hogy egyszerre gyűjtsön információt több objektumról, különböző nyilvános forrásokból (OSINT).
- Támogatást kaptak a JA4 és JA4+ forgalom-nyomok generálására szolgáló módszerek a hálózati protokollok és alkalmazások azonosításához.
- Megváltozott a részletes információs blokk megjelenése, minimalizálva a felhasználatlan teret és kétsoros elrendezést megvalósítva nagyobb képernyőkön.
- A Fájlok, Történet és Statisztikák fülhöz legördülő blokkok kerültek hozzáadásra, hogy egyszerre több felhasználói felületen keressen statisztikai információkat (Néző).
- Az azonosítási rendszer egységesítve lett, külön modulba helyezve, amely most már minden Arkime alkalmazásban használatos. Az anonim bejelentkezési mód helyett alapértelmezetten a digest módszer lett alkalmazva. Új azonosítási módok kerültek bevezetésre: basic, form, basic+form, basic+oidc, headerOnly, header+digest és header+basic.
- Minden alkalmazás átkerült egy egységes konfigurációs alrendszerre, amely támogatja a beállítások feldolgozását különböző formátumokban (ini, json, yaml), és képes beállításokat betölteni különböző forrásokból, például lemezről, hálózaton HTTPS-en keresztül vagy OpenSearch/Elasticsearch-ből.
- Támogatást kapott a mentett (offline) PCAP dumpok importálása, amelyeket URL-en keresztül HTTPS-en vagy Amazon S3 tárolóból tölthetünk le, anélkül hogy először a helyi rendszerre kellene menteni őket.
Forrás: opennet.ru
