De release van het Arkime 5.0-systeem voor het vastleggen, opslaan en indexeren van netwerkpakketten is gepubliceerd. Dit systeem biedt tools voor het visueel beoordelen van datastromen en het zoeken naar informatie met betrekking tot netwerkactiviteit. Het project is oorspronkelijk ontwikkeld door AOL met als doel een open vervanging te creƫren voor commerciƫle platforms voor de verwerking van netwerkpakketten. Het ondersteunt implementatie op eigen servers en is schaalbaar voor het verwerken van verkeer met snelheden van tientallen gigabits per seconde. De code voor de verkeerscapturingcomponent is geschreven in C, terwijl de interface is gerealiseerd in Node.js/JavaScript. De broncode wordt verspreid onder de Apache 2.0-licentie. Ondersteunt werking in Linux en FreeBSD. Kant-en-klare pakketten zijn voorbereid voor Arch Linux, RHEL/CentOS en Ubuntu.
Arkime bevat tools voor het vastleggen en indexeren van verkeer in PCAP-formaat, en biedt tevens middelen voor snelle toegang tot de geĆÆndexeerde gegevens. Het gebruik van het standaard PCAP-formaat vergemakkelijkt de integratie met bestaande verkeersanalyzers zoals Wireshark. De opslagcapaciteit is alleen beperkt door de grootte van de aanwezige schijfarray. Metadata over sessies worden geĆÆndexeerd in een cluster op basis van de Elasticsearch- of OpenSearch-engine. De component voor verkeerscapturing werkt in een multithreaded modus en vervult taken voor monitoring, het opslaan van PCAP-dumps op schijf, het analyseren van vastgelegde pakketten en het verzenden van metadata over sessies (SPI, Stateful Packet Inspection) en protocollen naar het Elasticsearch/OpenSearch-cluster. Opslag van PCAP-bestanden in versleutelde vorm is mogelijk.
Voor de analyse van de verzamelde informatie is er een webinterface beschikbaar die navigatie, zoeken en exporteren van selecties mogelijk maakt. De webinterface biedt verschillende weergavemodi, van algemene statistieken, verbindingkaarten en visuele grafieken met gegevens over veranderingen in netwerkactiviteit tot tools voor het bestuderen van afzonderlijke sessies, het analyseren van activiteit op basis van gebruikte protocollen en het ontleden van gegevens uit PCAP-dumps. Daarnaast is er een API beschikbaar die het mogelijk maakt om gegevens over vastgelegde pakketten in PCAP-formaat en ontledigde sessies in JSON-indeling door te geven aan externe applicaties.
In de nieuwe versie:
- De mogelijkheid is toegevoegd om gecombineerde zoekopdrachten uit te voeren via de Cont3xt-service om informatie die beschikbaar is in verschillende openbare bronnen (OSINT) gelijktijdig over meerdere objecten te verzamelen.
- Ondersteuning voor de methoden van traffic fingerprinting JA4 en JA4+ is toegevoegd voor het identificeren van netwerkprotocollen en applicaties.
- De weergave van het blok met gedetailleerde sessie-informatie is gewijzigd, waarbij onbenutte ruimte is geminimaliseerd en een twee-koloms lay-out voor grotere schermen is geĆÆmplementeerd.
- De tabbladen Bestanden, Geschiedenis en Statistieken hebben dropdown-blokken gekregen voor het gelijktijdig zoeken in meerdere instanties van de interface voor het bekijken van statistieken (Viewer).
- Het autorisatiesysteem is gestandaardiseerd en is naar een aparte module verplaatst, die nu in alle Arkime-toepassingen wordt gebruikt. In plaats van de standaard anonieme autorisatiemodus wordt nu de digest-methode gebruikt. Nieuwe autorisatiemodi zijn toegevoegd: basic, form, basic+form, basic+oidc, headerOnly, header+digest en header+basic.
- Alle toepassingen zijn overgezet naar een gestandaardiseerd configuratiesysteem, dat de verwerking van instellingen in verschillende formaten (ini, json, yaml) ondersteunt en instellingen kan laden uit verschillende bronnen, bijvoorbeeld van de schijf, via het netwerk via HTTPS of uit OpenSearch/Elasticsearch.
- Ondersteuning voor het importeren van opgeslagen (offline) PCAP-dumps is toegevoegd, met hun upload via URL via HTTPS of vanuit Amazon S3-opslag, zonder dat voorafgaande opslag op het lokale systeem nodig is.
Bron: opennet.ru
