네트워크 트래픽 색인 시스템 Arkime 5.0 출시

트래픽 흐름을 시각적으로 평가하고 네트워크 활동과 관련된 정보를 검색하는 도구를 제공하는 네트워크 패킷 캡처, 저장 및 인덱싱을 위한 시스템 릴리스인 Arkime 5.0이 출시되었습니다. 이 프로젝트는 원래 서버 배포를 지원하고 초당 수십 기가비트의 속도로 트래픽을 처리하도록 확장할 수 있는 상용 네트워크 패킷 처리 플랫폼에 대한 개방형 대체품을 만드는 것을 목표로 AOL에서 개발되었습니다. 트래픽 캡처 구성 요소 코드는 C로 작성되었으며 인터페이스는 Node.js/JavaScript로 구현되었습니다. 소스 코드는 Apache 2.0 라이센스에 따라 배포됩니다. Linux 및 FreeBSD에서의 작업을 지원합니다. Arch Linux, RHEL/CentOS 및 Ubuntu용 기성 패키지가 준비되어 있습니다.

Arkime에는 PCAP 트래픽을 캡처하고 인덱싱하는 도구가 포함되어 있으며 인덱싱된 데이터에 빠르게 액세스할 수 있는 도구도 제공합니다. 표준 PCAP 형식을 사용하면 Wireshark와 같은 기존 트래픽 분석기와의 통합이 크게 단순화됩니다. 저장된 데이터의 양은 사용 가능한 디스크 어레이의 크기에 의해서만 제한됩니다. 세션 메타데이터는 Elasticsearch 또는 OpenSearch 엔진을 기반으로 클러스터에서 인덱싱됩니다. 트래픽 캡처 구성 요소는 멀티 스레드 모드에서 작동하며 모니터링, 디스크에 PCAP 덤프 쓰기, 캡처된 패킷 구문 분석, 세션(SPI, 상태 저장 패킷 검사) 및 프로토콜에 대한 메타데이터를 Elasticsearch/OpenSearch 클러스터로 보내는 작업을 해결합니다. PCAP 파일을 암호화된 형식으로 저장할 수 있습니다.

축적된 정보를 분석하기 위해 샘플을 탐색하고 검색하고 내보낼 수 있는 웹 인터페이스가 제공됩니다. 웹 인터페이스는 일반 통계, 연결 맵, 네트워크 활동 변화에 대한 데이터가 포함된 시각적 그래프부터 개별 세션 연구, 사용된 프로토콜 컨텍스트에서 활동 분석, PCAP 덤프의 데이터 구문 분석을 위한 도구에 이르기까지 다양한 보기 모드를 제공합니다. PCAP 형식의 캡처된 패킷과 JSON 형식의 분해된 세션에 대한 데이터를 타사 애플리케이션으로 보낼 수 있는 API도 제공됩니다.

새 버전에서:

• 여러 개체에 대해 다양한 오픈 소스(OSINT)에서 사용 가능한 정보를 동시에 수집하기 위해 Cont3xt 서비스를 통해 정보에 대한 결합된 검색 요청을 보내는 기능이 추가되었습니다.
• 네트워크 프로토콜 및 애플리케이션을 식별하기 위해 JA4 및 JA4+ 트래픽 지문 채취 방법에 대한 지원이 추가되었습니다.
• 세션에 대한 자세한 정보가 담긴 블록의 디자인이 변경되어 사용되지 않는 공간을 최소화하고 대형 화면에 적합한 2단 레이아웃을 구현했습니다.
• 통계를 보기 위한 인터페이스(뷰어)의 여러 인스턴스에서 동시에 검색할 수 있도록 파일, 기록 및 통계 탭에 드롭다운 블록이 추가되었습니다.
• 인증 시스템이 통합되어 별도의 모듈로 분리되어 이제 모든 Arkime 애플리케이션에서 사용됩니다. 익명 인증 모드 대신 다이제스트 방법이 기본적으로 사용됩니다. 새로운 인증 모드가 추가되었습니다: 기본, 양식, 기본+양식, 기본+oidc, headerOnly, 헤더+다이제스트 및 헤더+기본.
• 모든 애플리케이션은 다양한 형식(ini, json, yaml)의 처리 설정을 지원하고 디스크, HTTPS를 통한 네트워크 또는 OpenSearch/Elasticsearch와 같은 다양한 소스에서 설정을 로드할 수 있는 통합 구성 하위 시스템으로 전송되었습니다. .
• 저장된(오프라인) PCAP 덤프를 가져오고 로컬 시스템에 먼저 저장할 필요 없이 HTTPS를 통해 또는 Amazon S3 스토리지에서 URL을 통해 다운로드하는 지원이 추가되었습니다.

출처 : opennet.ru