È stato pubblicato il rilascio del sistema per la cattura, archiviazione e indicizzazione dei pacchetti di rete Arkime 5.0, fornendo strumenti per la valutazione visiva dei flussi di traffico e la ricerca di informazioni relative all'attività di rete. Inizialmente, il progetto è stato sviluppato da AOL con l'obiettivo di creare un'alternativa open source alle piattaforme commerciali di elaborazione dei pacchetti di rete, supportando il dispiegamento sui propri server e in grado di scalare per gestire il traffico a velocità di decine di gigabit al secondo. Il codice del componente per la cattura del traffico è scritto in C, mentre l'interfaccia è realizzata in Node.js/JavaScript. I sorgenti sono distribuiti con licenza Apache 2.0. È supportato il funzionamento su Linux e FreeBSD. Pacchetti pronti sono stati preparati per Arch Linux, RHEL/CentOS e Ubuntu.
Arkime include strumenti per la cattura e l'indicizzazione del traffico in formato PCAP, e fornisce anche mezzi per un accesso rapido ai dati indicizzati. L'uso del formato standard PCAP semplifica notevolmente l'integrazione con analizzatori di traffico esistenti, come Wireshark. La quantità di dati archiviati è limitata solo dalla dimensione del sistema di archiviazione disponibile. I metadati sulle sessioni vengono indicizzati in un cluster basato sul motore Elasticsearch o OpenSearch. Il componente per la cattura del traffico opera in modalità multithreading e gestisce attività di monitoraggio, registrazione di dump PCAP su disco, analisi dei pacchetti catturati e invio di metadati sulle sessioni (SPI, Stateful Packet Inspection) e sui protocolli nel cluster Elasticsearch/OpenSearch. È possibile archiviare i file PCAP in forma crittografata.
Per l'analisi delle informazioni raccolte è disponibile un'interfaccia web, che consente di navigare, cercare ed esportare campioni. Nell'interfaccia web sono previste diverse modalità di visualizzazione, dalla statistica generale, alla mappa delle connessioni e ai grafici informativi con dati sul cambiamento dell'attività di rete, fino agli strumenti per esaminare singole sessioni, analizzare l'attività in base ai protocolli utilizzati e analizzare i dati dai dump PCAP. È inoltre fornito un API che consente di trasferire a applicazioni di terze parti i dati sui pacchetti catturati in formato PCAP e le sessioni analizzate in formato JSON.
Nella nuova versione:
- È stata aggiunta la possibilità di inviare richieste di ricerca combinate per informazioni tramite il servizio Cont3xt per raccogliere informazioni disponibili in varie fonti aperte (OSINT) contemporaneamente su più oggetti.
- È stato aggiunto il supporto per i metodi di formazione delle impronte del traffico JA4 e JA4+ per l'identificazione dei protocolli di rete e delle applicazioni.
- È stata modificata la presentazione del blocco con informazioni dettagliate sulla sessione, in cui è stato ridotto lo spazio inutilizzato e realizzata una disposizione a due colonne per schermi grandi.
- Nelle schede Files, History e Stats sono stati aggiunti menu a discesa per cercare contemporaneamente in più istanze dell'interfaccia per visualizzare statistiche (Viewer).
- Il sistema di autorizzazione è stato unificato e separato in un modulo dedicato, ora utilizzato in tutte le applicazioni Arkime. È stato adottato il metodo di autorizzazione digest al posto della modalità anonima per impostazione predefinita. Sono state aggiunte nuove modalità di autorizzazione: basic, form, basic+form, basic+oidc, headerOnly, header+digest e header+basic.
- Tutte le applicazioni sono state migrate a un sottosistema di configurazione unificato, che supporta l'elaborazione delle impostazioni in formati diversi (ini, json, yaml) e in grado di caricare le impostazioni da varie fonti, ad esempio, dal disco, attraverso la rete tramite HTTPS o da OpenSearch/Elasticsearch.
- È stato aggiunto il supporto per l'importazione di file PCAP salvati (offline) con il caricamento tramite URL tramite HTTPS o da uno storage Amazon S3, senza la necessità di una precedente memorizzazione nel sistema locale.
Fonte: opennet.ru
