È stata preparata la versione del sistema per la cattura, la memorizzazione e l'indicizzazione dei pacchetti di rete Arkime 3.1, che fornisce strumenti per una valutazione visiva dei flussi di traffico e la ricerca di informazioni correlate all'attività di rete. Inizialmente, il progetto è stato sviluppato da AOL con l'obiettivo di creare una sostituzione open-source e distribuità sui propri server per le piattaforme commerciali di elaborazione dei pacchetti di rete, in grado di scalare per gestire il traffico a velocità di decine di gigabit al secondo. Il codice del componente per la cattura del traffico è scritto in C, mentre l'interfaccia è realizzata in Node.js/JavaScript. I codici sorgente sono distribuiti sotto licenza Apache 2.0. Sono supportati Linux e FreeBSD. Pacchetti pronti sono stati preparati per Arch, CentOS e Ubuntu.
Arkime include strumenti per la cattura e indicizzazione del traffico nel formato standard PCAP, oltre a fornire strumenti per un accesso rapido ai dati indicizzati. L'uso del formato PCAP semplifica notevolmente l'integrazione con gli analizzatori di traffico esistenti, come Wireshark. La quantità di dati archiviati è limitata solo dalla dimensione dello spazio disco disponibile.
Per l'analisi delle informazioni accumulate è disponibile un'interfaccia web che consente di navigare, cercare ed esportare campioni. Nell'interfaccia web sono previsti diversi modi di visualizzazione — dalla statistica generale, alla mappa delle connessioni e grafici visivi sui dati di variazione dell'attività di rete, fino agli strumenti per esaminare sessioni individuali, analizzare l'attività in base ai protocolli utilizzati e per l'analisi dei dati da dump PCAP. È inoltre fornita un'API per trasmettere a applicazioni di terze parti i dati dei pacchetti catturati nel formato PCAP e delle sessioni analizzate in formato JSON.
Arkime è composto da tre componenti di base:
- Il sistema di cattura del traffico è un'applicazione multi-thread sviluppata in C per il monitoraggio del traffico, la registrazione di dump in formato PCAP su disco, l'analisi dei pacchetti catturati e l'invio di metadati sulle sessioni (SPI, Stateful Packet Inspection) e sui protocolli a un cluster Elasticsearch. È possibile memorizzare i file PCAP in forma cifrata.
- Un'interfaccia web basata sulla piattaforma Node.js, che viene avviata su ogni server cattura del traffico e gestisce le richieste relative all'accesso ai dati indicizzati e al trasferimento dei file PCAP tramite API.
- Un'archiviazione di metadati basata su Elasticsearch.
Nel nuovo rilascio:
- È stato aggiunto il supporto per i protocolli IETF QUIC, GENEVE, VXLAN-GPE.
- È stato aggiunto il supporto per il tipo Q-in-Q (Double VLAN), che consente di incapsulare i tag VLAN all'interno di tag di secondo livello, estendendo il numero di VLAN a 16 milioni.
- È stato aggiunto il supporto per i campi di tipo 'float'.
- Il modulo di registrazione in Amazon Elastic Compute Cloud è stato aggiornato per utilizzare il protocollo IMDSv2 (Instance Metadata Service).
- È stata effettuata una ristrutturazione del codice per aggiungere tunnel UDP.
- È stato aggiunto il supporto per elasticsearchAPIKey e elasticsearchBasicAuth.
Fonte: opennet.ru
