Objavljen je izdanak zbirke Netflow/IPFIX/sFlow kolektora Xenoeye 25.02. Kolektor omogućava prikupljanje statistike o tokovima sa raznih mrežnih uređaja, prenoseći podatke koristeći Netflow v5, v9, IPFIX i sFlow protokole, obrađuje podatke, generiše izveštaje i stvara grafikone. Jezgro projekta je napisano na C jeziku, a kod se distribuira pod ISC licencom.
Kolektor agregira mrežni saobraćaj prema odabranim poljima i izvozi podatke u PostgreSQL. Na osnovu ovih podataka mogu se kreirati izveštaji, grafikon (koristeći gnuplot, skripte na Pythonu + Matplotlib) ili nadzorne ploče u Grafani. Pored toga, kolektor može pokretati korisničke skripte kada se prekorače ili padnu ispod određenih pragova.
Za izračunavanje trenutne brzine saobraćaja koriste se pokretne srednje vrednosti. Mehanizam koji prati prekoračenja pragova namenjen je obaveštavanju o DoS/DDoS napadima i pokretanju potiskivanja korišćenjem BGP oglašavanja (Flowspec ili Blackhole). Uz kolektor dolazi primer Telegram bota koji može obaveštavati o anomalijama putem mesindžera. Kolektor nije zahtevan prema resursima, može obrađivati saobraćaj malih mreža na Raspberry/Orange Pi ili u virtuelnoj mašini sa 2-4GB RAM-a.
Spremembe v novi različici:
- Dodata je podrška za sFlow protokol, za koji je implementirana mogućnost parsiranja sadržaja mrežnih paketa i izdvajanja informacija o DNS i TLS (HTTPS) SNI. Hosting provajderi i vlasnici data centara mogu koristiti ovu mogućnost za borbu protiv phishinga i procenu toga koji domena sajtovi se hostuju u mreži.
- Dodana je podrška za ugniježdene/hijerarhijske objekte nadzora, što pojednostavljuje neke konfiguracije sa velikim brojem objekata i poboljšava performanse obrade u poređenju sa "ravnim" popisom objekata nadzora.
- Dodana je mogućnost klasifikacije interfejsa — saobraćaj izabranih mrežnih interfejsa rutera ili prekidača može se ignorisati ili posebno obrađivati.
- Dodana je mogućnost praćenja ne samo naleta saobraćaja, već i padova ispod pragova, što može biti korisno za indirektno praćenje pojedinačnih strežnikov ili servisa.
- Dodana je možnost spreminjanja pragov prometa brez ponovnega zagona zbiralnika. Mehanizem je namenjen situacijam, ko uporabniki samodejno izračunavajo pragove na podlagi statistike preteklih obdobij in občasno posodabljajo pragove v zbiralniku.
- Dodan je LXC-kontejner za hitro izvajanje in testiranje zbiralnika. V kontejner so vključeni zbiralnik s prednastavljenimi monitornimi objekti, PostgreSQL in Grafana.
Izvor: opennet.ru
