Bola vydaná verzia collectora Netflow/IPFIX/sFlow Xenoeye 25.02. Collector umožňuje zbierať štatistiku o prúdoch prevádzky z rôznych sieťových zariadení, prenášanú pomocou protokolov Netflow v5, v9, IPFIX a sFlow, spracovávať údaje, generovať správy a vytvárať grafy. Jadro projektu je napísané v jazyku C, kód je šírený pod licenciou ISC.
Collector agreguje sieťový prevádzku podľa vybraných polí a exportuje údaje do PostgreSQL. Na základe týchto údajov je možné vytvárať správy, grafy (použitím gnuplot, skriptov v Pythone + Matplotlib) alebo dashboardy v Grafane. Okrem toho môže collector spúšťať používateľské skripty pri prekročení prahových hodnôt alebo poklese prevádzky pod prahové hodnoty.
Na výpočet aktuálnej rýchlosti prevádzky sa používajú kĺzavé priemery. Mechanizmus, ktorý sleduje prekročenie prahových hodnôt, slúži na upozornenie na DoS/DDoS útoky a spúšťa potlačenie pomocou BGP oznamov (Flowspec alebo Blackhole). Spolu s collectorom je dodávaný príklad skriptu Telegram robota, ktorý môže upozorňovať na anomálie v messengeri. Collector nie je náročný na zdroje, dokáže spracovávať prevádzku malých sietí na Raspberry/Orange Pi alebo vo virtuálnom stroji s 2-4 GB pamäte.
Zmeny v novej verzii:
- Pridaná podpora pre protokol sFlow, pre ktorý bola implementovaná možnosť parsovať obsah (payload) sieťových paketov a extrahovať z neho informácie o DNS a TLS (HTTPS) SNI. Hostitelia a vlastníci dátových centier môžu túto možnosť využiť na boj proti phishingu a na posúdenie toho, aké domény a webové stránky sú hostené v sieti.
- Pridaná podpora pre vložené/hierarchické objekty monitorovania, čo umožňuje zjednodušiť niektoré konfigurácie s veľkým počtom objektov a zvýšiť výkon spracovania v porovnaní s "plochým" zoznamom objektov monitorovania.
- Pridaná možnosť klasifikovať rozhrania - prevádzku vybraných sieťových rozhraní smerovačov alebo prepínačov je možné ignorovať alebo spracovávať špeciálnym spôsobom.
- Pridaná možnosť sledovať nielen výbuchy prevádzky, ale aj pokles pod prahové hodnoty, čo môže byť užitočné pre nepriame monitorovanie jednotlivých serverov alebo služieb.
- Pridaná možnosť meniť prahové hodnoty prevádzky bez reštartu zberateľa. Mechanizmus je určený pre situácie, keď používatelia automaticky vypočítavajú prahy na základe štatistiky z predchádzajúcich období a pravidelne aktualizujú prahy v zberateľovi.
- Pridaný LXC kontajner pre rýchle nasadenie a testovanie zberateľa. V kontajneri je zberateľ s predinštalovanými objektmi monitorovania, PostgreSQL a Grafana.
Zdroj: opennet.ru
