De Netflow-collector Xenoeye is beschikbaar en stelt je in staat om statistieken over datastromen van verschillende netwerkapparaten te verzamelen, die worden verzonden met behulp van de protocollen Netflow v9 en IPFIX. De gegevens worden verwerkt, rapporten worden gegenereerd en grafieken worden gemaakt. Daarnaast kan de collector scripts uitvoeren wanneer drempels worden overschreden. De kern van het project is geschreven in de programmeertaal C en de code wordt verspreid onder de ISC-licentie.
Kenmerken van de collector:
- Geaggregeerde gegevens op basis van de benodigde Netflow-velden worden geëxporteerd naar PostgreSQL. Voorafgaande aggregatie vindt plaats binnen de collector.
- Uit de doos wordt alleen een basisset van Netflow-velden ondersteund, maar bijna elk veld kan worden toegevoegd.
- De prestaties van de collector kunnen, afhankelijk van de aard van het verkeer en de rapporten, enkele honderdduizenden 'flows per second' op één CPU bereiken. Het model voor belastingverdeling is per apparaat (router) op de stroom.
- De collector maakt gebruik van voortschrijdende gemiddelden om de overschrijding van de verkeerssnelheid te berekenen.
- De collector kan worden gebruikt om geïnfecteerde hosts te vinden (die e-mailspam, HTTP(S)-floods, SSH-scanners verzenden) en om plotselinge pieken tijdens DoS/DDoS-aanvallen te identificeren.
- Netwerkrapporten kunnen worden gevisualiseerd met verschillende tools: gnuplot, scripts in Python + Matplotlib, gebruikmakend van Grafana.
- In tegenstelling tot veel moderne collectors worden er in dit project geen Apache Kafka, Elastic enz. gebruikt, de belangrijkste berekeningen vinden plaats binnen de collector zelf.
Bron: opennet.ru
