È stato rilasciato il collezionista Netflow/IPFIX/sFlow Xenoeye 25.02. Il collezionista consente di raccogliere statistiche sul traffico da vari dispositivi di rete, trasmesse utilizzando i protocolli Netflow v5, v9, IPFIX e sFlow, elaborare i dati, generare report e creare grafici. Il nucleo del progetto è scritto in linguaggio C, il codice è distribuito con licenza ISC.
Il collezionista aggrega il traffico di rete in base ai campi selezionati ed esporta i dati in PostgreSQL. Sulla base di questi dati è possibile creare report, grafici (utilizzando gnuplot, script in Python + Matplotlib) o dashboard in Grafana. Inoltre, il collezionista può eseguire script personalizzati quando vengono superati i limiti o quando il traffico scende sotto le soglie.
Per il calcolo della velocità attuale del traffico vengono utilizzate le medie mobili. Il meccanismo che monitora il superamento delle soglie è progettato per notificare attacchi DoS/DDoS e avviare la soppressione tramite annunci BGP (Flowspec o Blackhole). Insieme al collettore è fornito un esempio di script di un bot Telegram che può avvisare nel messenger su anomalie. Il collettore non richiede molte risorse e può elaborare il traffico di piccole reti su Raspberry/Orange Pi o in una macchina virtuale con 2-4GB di RAM.
Modifiche nella nuova versione:
- È stata aggiunta la supporto per il protocollo sFlow, per il quale è stata implementata la possibilità di analizzare il contenuto (payload) dei pacchetti di rete ed estrarre informazioni su DNS e TLS (HTTPS) SNI. Gli hosting e i proprietari dei data center possono utilizzare questa funzionalità per combattere il phishing e valutare quali domini siti sono ospitati nella rete.
- È stata aggiunta la supporto per oggetti di monitoraggio annidati/gerarchici, che semplificano alcune configurazioni con un gran numero di oggetti e migliorano le prestazioni di elaborazione rispetto a un elenco "piatto" di oggetti di monitoraggio.
- È stata aggiunta la possibilità di classificare le interfacce: il traffico delle interfacce di rete selezionate dei router o degli switch può essere ignorato o trattato in modo speciale.
- È stata aggiunta la possibilità di monitorare non solo i picchi di traffico, ma anche le cadute al di sotto delle soglie, il che può essere utile per il monitoraggio indiretto di singoli server o servizi.
- È stata aggiunta la possibilità di modificare le soglie di traffico senza riavviare il collector. Il meccanismo è progettato per situazioni in cui gli utenti calcolano automaticamente le soglie basandosi sulle statistiche dei periodi precedenti e aggiornano periodicamente le soglie nel collector.
- È stato aggiunto un contenitore LXC per il rapido deploy e test del collector. Il contenitore include il collector con oggetti di monitoraggio preinstallati, PostgreSQL e Grafana.
Fonte: opennet.ru
