AOL ເຜີຍແຜ່ລະບົບດັດສະນີການຈະລາຈອນເຄືອຂ່າຍ Moloch 2.3

ບໍລິສັດ AOL ປ່ອຍອອກມາ ການປ່ອຍລະບົບສໍາລັບການຈັບ, ເກັບຮັກສາແລະດັດສະນີແພັກເກັດເຄືອຂ່າຍ Moloch 2.3, ເຊິ່ງສະຫນອງເຄື່ອງມືສໍາລັບການເບິ່ງເຫັນການໄຫຼວຽນຂອງການຈະລາຈອນແລະການຊອກຫາຂໍ້ມູນທີ່ກ່ຽວຂ້ອງກັບກິດຈະກໍາເຄືອຂ່າຍ. ລະຫັດຖືກຂຽນເປັນພາສາ C (ການໂຕ້ຕອບໃນ Node.js/JavaScript) ແລະ ແຈກຢາຍໂດຍ ອະນຸຍາດພາຍໃຕ້ Apache 2.0. ຮອງຮັບການເຮັດວຽກໃນ Linux ແລະ FreeBSD. ພ້ອມ ການຫຸ້ມຫໍ່ ກະກຽມສໍາລັບລຸ້ນຕ່າງໆຂອງ CentOS ແລະ Ubuntu.

ໂຄງການດັ່ງກ່າວໄດ້ຖືກສ້າງຂື້ນໃນປີ 2012 ໂດຍມີເປົ້າຫມາຍໃນການສ້າງການທົດແທນທີ່ເປີດສໍາລັບແພລະຕະຟອມການປຸງແຕ່ງແພັກເກັດເຄືອຂ່າຍການຄ້າທີ່ສາມາດປັບຂະຫນາດເຖິງປະລິມານການຈະລາຈອນ AOL. ການປະຕິບັດລະບົບໃຫມ່ໃນ AOL ເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະບັນລຸການຄວບຄຸມພື້ນຖານໂຄງລ່າງທີ່ສົມບູນເນື່ອງຈາກການຕິດຕັ້ງໃນເຄື່ອງແມ່ຂ່າຍຂອງມັນແລະຫຼຸດຜ່ອນຄ່າໃຊ້ຈ່າຍຢ່າງຫຼວງຫຼາຍ - ການນໍາໃຊ້ Moloch ເພື່ອເກັບກໍາການຈະລາຈອນຢ່າງສົມບູນໃນເຄືອຂ່າຍ AOL ທັງຫມົດມີຄ່າໃຊ້ຈ່າຍເທົ່າກັບເວລາທີ່ໃຊ້. ການແກ້ໄຂການຄ້າ ກ່ອນຫນ້ານີ້, ມັນໃຊ້ເວລາໃນການຈັບພາບການຈະລາຈອນໃນເຄືອຂ່າຍດຽວເທົ່ານັ້ນ. ລະບົບສາມາດປັບຂະຫນາດເພື່ອປະມວນຜົນການຈະລາຈອນດ້ວຍຄວາມໄວຫຼາຍສິບ gigabits ຕໍ່ວິນາທີ. ປະລິມານຂອງຂໍ້ມູນທີ່ເກັບໄວ້ແມ່ນຈໍາກັດໂດຍຂະຫນາດຂອງ array ແຜ່ນທີ່ມີຢູ່.
ເຊດຊັນເມຕາເດຕາຖືກດັດສະນີໃນກຸ່ມທີ່ອີງໃສ່ເຄື່ອງຈັກ Elasticsearch.

Moloch ປະກອບມີເຄື່ອງມືສໍາລັບການຈັບແລະດັດສະນີການຈະລາຈອນໃນຮູບແບບ PCAP ພື້ນເມືອງ, ເຊັ່ນດຽວກັນກັບການເຂົ້າເຖິງຂໍ້ມູນທີ່ດັດສະນີໄວ. ເພື່ອວິເຄາະຂໍ້ມູນທີ່ສະສົມ, ມີການໂຕ້ຕອບຂອງເວັບໄຊຕ໌ທີ່ຊ່ວຍໃຫ້ທ່ານສາມາດນໍາທາງ, ຄົ້ນຫາແລະສົ່ງອອກຕົວຢ່າງ. ຍັງໄດ້ສະຫນອງໃຫ້ API, ເຊິ່ງອະນຸຍາດໃຫ້ທ່ານໂອນຂໍ້ມູນກ່ຽວກັບແພັກເກັດທີ່ຖືກຈັບໃນຮູບແບບ PCAP ແລະ parsed sessions ໃນຮູບແບບ JSON ໄປຫາແອັບພລິເຄຊັນພາກສ່ວນທີສາມ. ການນໍາໃຊ້ຮູບແບບ PCAP ຢ່າງຫຼວງຫຼາຍເຮັດໃຫ້ການເຊື່ອມໂຍງກັບຕົວວິເຄາະການຈະລາຈອນທີ່ມີຢູ່ເຊັ່ນ Wireshark ງ່າຍຂຶ້ນ.

Moloch ປະກອບດ້ວຍສາມອົງປະກອບພື້ນຖານ:

• ລະບົບການຈັບພາບການຈະລາຈອນແມ່ນຄໍາຮ້ອງສະຫມັກ C ຫຼາຍກະທູ້ສໍາລັບການຕິດຕາມການຈະລາຈອນ, ການຂຽນ dumps ໃນຮູບແບບ PCAP ໃສ່ແຜ່ນ, parsing packets captured ແລະສົ່ງ metadata ກ່ຽວກັບ sessions (SPI, Stateful packet inspection) ແລະ protocols ກັບກຸ່ມ Elasticsearch. ມັນເປັນໄປໄດ້ທີ່ຈະເກັບຮັກສາໄຟລ໌ PCAP ໃນຮູບແບບທີ່ຖືກເຂົ້າລະຫັດ.
• ອິນເຕີເຟດເວັບໂດຍອີງໃສ່ແພລະຕະຟອມ Node.js, ເຊິ່ງເຮັດວຽກຢູ່ໃນແຕ່ລະເຄື່ອງແມ່ຂ່າຍການຈັບພາບການຈະລາຈອນແລະຂະບວນການຮ້ອງຂໍທີ່ກ່ຽວຂ້ອງກັບການເຂົ້າເຖິງຂໍ້ມູນທີ່ຖືກດັດສະນີແລະການໂອນໄຟລ໌ PCAP ຜ່ານ API.
• ການເກັບຮັກສາ metadata ອີງໃສ່ Elasticsearch.

ອິນເຕີເຟດເວັບໃຫ້ຮູບແບບການເບິ່ງຫຼາຍແບບ - ຈາກສະຖິຕິທົ່ວໄປ, ແຜນທີ່ເຊື່ອມຕໍ່ແລະເສັ້ນສະແດງພາບທີ່ມີຂໍ້ມູນກ່ຽວກັບການປ່ຽນແປງກິດຈະກໍາເຄືອຂ່າຍກັບເຄື່ອງມືສໍາລັບການສຶກສາແຕ່ລະກອງປະຊຸມ, ການວິເຄາະກິດຈະກໍາໃນສະພາບການຂອງໂປໂຕຄອນທີ່ໃຊ້ແລະການວິເຄາະຂໍ້ມູນຈາກ PCAP dumps.

В ບັນຫາໃຫມ່:

• ມີການຫັນປ່ຽນໄປສູ່ການໃຊ້ຮູບແບບທີ່ບໍ່ມີປະເພດສໍາລັບການດັດສະນີໃນ Elasticsearch.
• ເພີ່ມຕົວຢ່າງຂອງການກັ່ນຕອງການຈັບພາບການຈະລາຈອນໃນ Lua.
• ຮອງຮັບ 46 ສະບັບຮ່າງຂອງອະນຸສັນຍາ QUIC ໄດ້ຖືກຈັດຕັ້ງປະຕິບັດແລ້ວ.
• ລະຫັດສໍາລັບ parsing protocols ໄດ້ຖືກປະຕິບັດຄືນໃຫມ່, ເຮັດໃຫ້ມັນເປັນໄປໄດ້ທີ່ຈະຂຽນ parser ສໍາລັບ Ethernet ແລະ IP protocols ລະດັບ.
• parsers ໃຫມ່ໄດ້ຖືກສະເຫນີສໍາລັບ arp, bgp, igmp, isis, lldp, ospf ແລະ pim protocols, ເຊັ່ນດຽວກັນກັບ parsers ສໍາລັບ unkEthernet ແລະ unkIpProtocol protocols ທີ່ບໍ່ຮູ້ຈັກ.
• ເພີ່ມຕົວເລືອກເພື່ອເລືອກປິດການໃຊ້ງານຕົວແຍກວິເຄາະ (disablePersers).
• ຄວາມສາມາດໃນການສະແດງຊ່ອງ integer ໃດໆໃນຕາຕະລາງ, ທີ່ກໍານົດໄວ້ໃນຫນ້າການຕັ້ງຄ່າ, ໄດ້ຖືກເພີ່ມເຂົ້າໃນການໂຕ້ຕອບເວັບໄຊຕ໌.
• ກຣາບ ແລະຫົວເລື່ອງສາມາດຈຶ້ງໄວ້ໄດ້ ແລະບໍ່ເຄື່ອນທີ່ເມື່ອເລື່ອນໜ້າ.
• ແຖບນຳທາງສ່ວນໃຫຍ່ຖືກເຊື່ອງ ຫຼືຫຍໍ້ລົງຕາມຄ່າເລີ່ມຕົ້ນ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru