AOL Bedrijf systeemrelease voor het vastleggen, opslaan en indexeren van netwerkpakketten , dat hulpmiddelen biedt voor een visuele beoordeling van verkeersstromen en het zoeken naar informatie gerelateerd aan netwerkactiviteit. De code is geschreven in C (met een interface in Node.js/JavaScript) en vervallen onder de Apache 2.0-licentie. Ondersteunt gebruik in Linux en FreeBSD. Klaar voor verschillende versies van CentOS en Ubuntu.
Het project werd in 2012 opgericht met als doel een open vervanging voor commerciƫle netwerkaanvaardingsplatforms te creƫren, die kan schalen tot het niveau van het verkeer van AOL. De implementatie van het nieuwe systeem in AOL heeft volledige controle over de infrastructuur mogelijk gemaakt door het draaien op eigen servers en aanzienlijk de kosten verlaagd - het gebruik van Moloch voor volledige verkeerscaptatie in alle netwerken van AOL kostte een bedrag dat vergelijkbaar was met wat werd uitgegeven aan dat eerder werd besteed aan verkeerscaptatie alleen in ƩƩn netwerk. Het systeem kan worden geschaald voor het verwerken van verkeer met snelheden van tientallen gigabits per seconde. De hoeveelheid opgeslagen gegevens is alleen beperkt door de grootte van de beschikbare schijfopslag.
Metadata over sessies worden geĆÆndexeerd in een cluster op basis van de engine .
Moloch omvat hulpmiddelen voor het vastleggen en indexeren van verkeer in het standaard PCAP-formaat, evenals voor snelle toegang tot de geĆÆndexeerde gegevens. Voor de analyse van de verzamelde informatie is er een webinterface die navigatie, zoeken en export van selecties mogelijk maakt. Ook wordt er geleverd , waarmee gegevens over vastgelegde pakketten in PCAP-formaat en geparseerde sessies in JSON-formaat aan externe applicaties kunnen worden doorgegeven. Het gebruik van het PCAP-formaat vereenvoudigt de integratie met bestaande verkeersanalysers zoals Wireshark.
Moloch bestaat uit drie basiscomponenten:
- Het verkeerscapturingssysteem - een multithreaded applicatie geschreven in C die verkeer monitort, dumps in PCAP-formaat naar schijf schrijft, vastgelegde pakketten analyseert en metadata over sessies (SPI, Stateful packet inspection) en protocollen naar een Elasticsearch-cluster verzendt. Het is mogelijk om PCAP-bestanden versleuteld op te slaan.
- Webinterface op basis van het Node.js-platform, die op elke verkeerscaptatieserver draait en verzoeken verwerkt die verband houden met toegang tot de geĆÆndexeerde gegevens en het verzenden van PCAP-bestanden via .
- Een metadata-opslag op basis van Elasticsearch.
De webinterface biedt verschillende weergavemodi ā van algemene statistieken, netwerkmaps en visuele grafieken met gegevens over de verandering in netwerkactiviteit tot tools voor het bestuderen van individuele sessies, het analyseren van activiteit per gebruikt protocol en het analyseren van gegevens uit PCAP-dumps.
In :
- Er is een overstap gemaakt naar het gebruik van een typeless formaat voor indexering in Elasticsearch.
- Voorbeelden van verkeerscapturefilters in Lua zijn toegevoegd.
- Ondersteuning voor de 46-voorlopige versie van het QUIC-protocol is geĆÆmplementeerd.
- De code voor het parseren van protocollen is herzien, en het is nu mogelijk om parsers te schrijven voor Ethernet- en IP-niveau protocollen.
- Nieuwe parsers zijn voorgesteld voor de protocollen arp, bgp, igmp, isis, lldp, ospf en pim, evenals parsers voor onbekende protocollen unkEthernet en unkIpProtocol.
- Er is een optie toegevoegd voor selectief uitschakelen van parsers (disableParsers).
- De webinterface heeft de mogelijkheid toegevoegd om elk geheel getalveld op grafieken weer te geven, ingesteld op de instellingenpagina.
- Grafieken en titels kunnen nu worden vastgezet en verschuiven niet bij het scrollen van de pagina.
- De meeste navigatiepanelen zijn standaard verborgen of samengevouwen.
Bron: opennet.ru
