AOL은 Moloch 2.3 네트워크 트래픽 인덱싱 시스템을 발표했습니다.

AOL 회사 출시 네트워크 패킷 캡처, 저장 및 색인화를 위한 시스템 출시 몰록 2.3는 트래픽 흐름을 시각적으로 평가하고 네트워크 활동과 관련된 정보를 검색하는 도구를 제공합니다. 코드는 C 언어(Node.js/JavaScript의 인터페이스)로 작성되었으며 배포자 Apache 2.0에 따라 라이센스가 부여되었습니다. Linux 및 FreeBSD에서의 작업을 지원합니다. 준비가 된 꾸러미 CentOS와 Ubuntu의 다양한 버전을 위해 준비되었습니다.

이 프로젝트는 AOL 트래픽 볼륨으로 확장할 수 있는 상용 네트워크 패킷 처리 플랫폼에 대한 개방형 대체 플랫폼을 만드는 것을 목표로 2012년에 만들어졌습니다. AOL에 새로운 시스템을 구현하면 서버 배포로 인해 인프라를 완벽하게 제어하고 비용을 크게 절감할 수 있습니다. Moloch를 사용하여 모든 AOL 네트워크에서 트래픽을 완전히 캡처하는 데 드는 비용은 사용할 때와 동일합니다. 상업용 솔루션 이전에는 하나의 네트워크에서만 트래픽을 캡처하는 데 사용되었습니다. 시스템은 초당 수십 기가비트의 속도로 트래픽을 처리하도록 확장할 수 있습니다. 저장된 데이터의 양은 사용 가능한 디스크 어레이의 크기에 의해서만 제한됩니다.
세션 메타데이터는 엔진 기반 클러스터에서 인덱싱됩니다. 탄성 검색.

Moloch에는 기본 PCAP 형식으로 트래픽을 캡처 및 인덱싱하고 인덱싱된 데이터에 빠르게 액세스할 수 있는 도구가 포함되어 있습니다. 축적된 정보를 분석하기 위해 샘플을 탐색하고 검색하고 내보낼 수 있는 웹 인터페이스가 제공됩니다. 또한 제공 API를 사용하면 PCAP 형식의 캡처된 패킷과 JSON 형식의 구문 분석된 세션에 대한 데이터를 타사 애플리케이션으로 전송할 수 있습니다. PCAP 형식을 사용하면 Wireshark와 같은 기존 트래픽 분석기와의 통합이 크게 단순화됩니다.

Moloch는 세 가지 기본 구성 요소로 구성됩니다.

• 트래픽 캡처 시스템은 트래픽 모니터링, 디스크에 PCAP 형식의 덤프 쓰기, 캡처된 패킷 구문 분석, 세션(SPI, Stateful 패킷 검사) 및 프로토콜에 대한 메타데이터를 Elasticsearch 클러스터로 보내기 위한 멀티스레드 C 애플리케이션입니다. PCAP 파일을 암호화된 형식으로 저장할 수 있습니다.
• 각 트래픽 캡처 서버에서 실행되고 인덱싱된 데이터 액세스 및 PCAP 파일 전송과 관련된 요청을 처리하는 Node.js 플랫폼 기반 웹 인터페이스입니다. API.
• Elasticsearch 기반의 메타데이터 저장.

웹 인터페이스는 일반 통계, 연결 맵, 네트워크 활동 변화에 대한 데이터가 포함된 시각적 그래프부터 개별 세션 연구, 사용된 프로토콜 컨텍스트에서 활동 분석, PCAP 덤프의 데이터 구문 분석을 위한 도구에 이르기까지 다양한 보기 모드를 제공합니다.

В 새로운 문제:

• Elasticsearch의 색인 생성을 위해 유형 없는 형식을 사용하도록 전환되었습니다.
• Lua에 트래픽 캡처 필터의 예가 추가되었습니다.
• QUIC 프로토콜의 46개 초안 버전에 대한 지원이 구현되었습니다.
• 프로토콜 구문 분석을 위한 코드가 재작업되어 이더넷 및 IP 수준 프로토콜에 대한 구문 분석기를 작성할 수 있게 되었습니다.
• arp, bgp, igmp, isis, lldp, ospf 및 pim 프로토콜에 대한 새로운 파서와 알려지지 않은 unkEthernet 및 unkIpProtocol 프로토콜에 대한 파서가 제안되었습니다.
• 파서를 선택적으로 비활성화하는 옵션(disableParsers)을 추가했습니다.
• 설정 페이지에서 설정된 차트에 정수 필드를 표시하는 기능이 웹 인터페이스에 추가되었습니다.
• 이제 페이지를 스크롤할 때 그래프와 제목을 고정하고 이동할 수 없습니다.
• 대부분의 탐색 모음은 기본적으로 숨겨져 있거나 축소되어 있습니다.

출처 : opennet.ru