Објавување на системот за индексирање на мрежниот сообраќај Arkime 5.0

Објавено е издание на системот за фаќање, складирање и индексирање мрежни пакети Arkime 5.0, обезбедувајќи алатки за визуелно оценување на сообраќајните текови и пребарување на информации поврзани со мрежната активност. Проектот првично беше развиен од AOL со цел да се создаде отворена замена за комерцијални мрежни платформи за обработка на пакети што поддржува распоредување на неговите сервери и може да се размери за да го обработува сообраќајот со брзина од десетици гигабити во секунда. Кодот на компонентата за снимање сообраќај е напишан во C, а интерфејсот е имплементиран во Node.js/JavaScript. Изворниот код се дистрибуира под лиценцата Apache 2.0. Поддржува работа на Linux и FreeBSD. Подготвени се готови пакети за Arch Linux, RHEL/CentOS и Ubuntu.

Arkime вклучува алатки за снимање и индексирање на PCAP сообраќај, а исто така обезбедува алатки за брз пристап до индексирани податоци. Употребата на стандарден формат PCAP во голема мера ја поедноставува интеграцијата со постоечките сообраќајни анализатори како што е Wireshark. Обемот на складирани податоци е ограничен само од големината на достапната низа на дискови. Метаподатоците од сесиите се индексираат во кластер базиран на моторот Elasticsearch или OpenSearch. Компонентата за фаќање сообраќај работи во режим со повеќе нишки и ги решава задачите за следење, запишување исфрлања на PCAP на дискот, парсирање на заробените пакети и испраќање метаподатоци за сесиите (SPI, инспекција на државни пакети) и протоколи до кластерот Elasticsearch/OpenSearch. Можно е да се складираат PCAP-датотеки во шифрирана форма.

За да се анализираат акумулираните информации, се нуди веб-интерфејс кој ви овозможува да се движите, пребарувате и извезувате примероци. Веб-интерфејсот обезбедува неколку начини на гледање - од општа статистика, мапи за поврзување и визуелни графикони со податоци за промените во мрежната активност до алатки за проучување на поединечни сесии, анализа на активноста во контекст на користените протоколи и парсирање на податоци од депонии на PCAP. Обезбеден е и API кој ви овозможува да испраќате податоци за заробените пакети во формат PCAP и расклопени сесии во формат JSON до апликации од трети страни.

Во новата верзија:

• Додадена е можност за испраќање комбинирани барања за пребарување за информации преку услугата Cont3xt за собирање информации достапни во различни отворени извори (OSINT) истовремено за неколку објекти.
• Додадена е поддршка за JA4 и JA4+ методи за отпечатоци за сообраќај за да се идентификуваат мрежните протоколи и апликации.
• Променет е дизајнот на блокот со детални информации за сесијата, со што се минимизира неискористениот простор и се имплементира распоред со две колони за големи екрани.
• Паѓачките блокови се додадени во табовите Датотеки, Историја и Статистика за истовремено пребарување во неколку случаи на интерфејсот за гледање статистика (Прегледувач).
• Системот за авторизација е унифициран и одвоен во посебен модул, кој сега се користи во сите апликации на Arkime. Наместо анонимниот режим на авторизација, стандардно се користи методот на дигест. Додадени се нови режими на авторизација: основна, форма, основна+форма, основна+оидц, само заглавје, заглавие+дигест и заглавие+основно.
• Сите апликации се префрлени на унифициран потсистем за конфигурација кој поддржува поставки за обработка во различни формати (ini, json, yaml) и е способен да вчитува поставки од различни извори, на пример, од диск, преку мрежа преку HTTPS или од OpenSearch/Elasticsearch .
• Додадена е поддршка за увоз на зачувани (офлајн) PCAP депонии и нивно преземање преку URL-адреса преку HTTPS или од складирање на Amazon S3, без потреба прво да се зачуваат на локалниот систем.

Извор: opennet.ru