Phiên bản Xenoeye 25.02 của trình thu thập Netflow/IPFIX/sFlow đã được phát hành. Công cụ thu thập cho phép bạn thu thập số liệu thống kê về luồng lưu lượng từ nhiều thiết bị mạng khác nhau, được truyền bằng giao thức Netflow v5, v9, IPFIX và sFlow, xử lý dữ liệu, tạo báo cáo và xây dựng biểu đồ. Cốt lõi của dự án được viết bằng C, mã được phân phối theo giấy phép ISC.
Công cụ thu thập tổng hợp lưu lượng mạng theo các trường đã chọn và xuất dữ liệu sang PostgreSQL. Dựa trên dữ liệu này, bạn có thể xây dựng báo cáo, biểu đồ (sử dụng gnuplot, tập lệnh Python + Matplotlib) hoặc bảng thông tin trong Grafana. Ngoài ra, trình thu thập có thể chạy các tập lệnh tùy chỉnh khi vượt quá ngưỡng hoặc khi lưu lượng truy cập giảm xuống dưới ngưỡng.
Đường trung bình động được sử dụng để tính tốc độ giao thông hiện tại. Cơ chế giám sát việc vượt ngưỡng được thiết kế để thông báo về các cuộc tấn công DoS/DDoS và bắt đầu ngăn chặn bằng thông báo BGP (Flowspec hoặc Blackhole). Bộ sưu tập đi kèm với một ví dụ về tập lệnh robot Telegram có thể thông báo cho người đưa tin về những điều bất thường. Bộ thu thập không đòi hỏi nhiều tài nguyên, nó có thể xử lý lưu lượng truy cập của các mạng nhỏ trên Raspberry/Orange Pi hoặc trong máy ảo có 2-4 GB RAM.
Những thay đổi trong phiên bản mới:
- Đã bổ sung hỗ trợ cho giao thức sFlow, cho phép phân tích cú pháp tải trọng gói mạng và trích xuất thông tin SNI DNS và TLS (HTTPS). Các nhà cung cấp dịch vụ lưu trữ và chủ sở hữu trung tâm dữ liệu có thể sử dụng tính năng này để chống lại các cuộc tấn công lừa đảo và đánh giá mức độ nguy hiểm. các miền và các trang web được lưu trữ trên mạng.
- Đã thêm hỗ trợ cho các đối tượng giám sát lồng nhau/phân cấp, cho phép đơn giản hóa một số cấu hình có số lượng đối tượng lớn và cải thiện hiệu suất xử lý so với danh sách "phẳng" các đối tượng giám sát.
- Đã thêm khả năng phân loại giao diện - lưu lượng từ các giao diện mạng được chọn của bộ định tuyến hoặc bộ chuyển mạch có thể bị bỏ qua hoặc xử lý theo cách đặc biệt.
- Đã bổ sung khả năng giám sát không chỉ các đợt tăng đột biến lưu lượng truy cập mà còn cả các đợt giảm xuống dưới ngưỡng, điều này có thể hữu ích cho việc giám sát gián tiếp từng cá nhân. may chủ hoặc dịch vụ.
- Đã thêm khả năng thay đổi ngưỡng lưu lượng mà không cần khởi động lại trình thu thập. Cơ chế này được thiết kế cho trường hợp người dùng tự động tính toán ngưỡng dựa trên số liệu thống kê của các giai đoạn trước và định kỳ cập nhật ngưỡng trong trình thu thập.
- Đã thêm vùng chứa LXC để triển khai và thử nghiệm bộ thu thập nhanh chóng. Container bao gồm một trình thu thập các đối tượng giám sát được cài đặt sẵn là PostgreSQL và Grafana.
Nguồn: opennet.ru
