최근에 캡처 시스템의 출시가 발표되었습니다. 네트워크 패킷 저장 및 인덱싱 트래픽 흐름을 시각적으로 평가하는 도구를 제공하는 Arkime 3.1 네트워크 활동과 관련된 정보를 검색합니다.
프로젝트가 개발되었습니다 원래 AOL은 개방적이고 배포 가능한 대체품을 만드는 것을 목표로 삼았습니다. 초당 수십 기가비트의 속도로 트래픽을 처리하도록 확장할 수 있는 서버의 상용 네트워크 패킷 처리 플랫폼용.
아르키메 소개
Arkime에 대해 잘 모르시는 분들을 위해 알려드립니다. 이전에 Moloch로 알려진 표준 PCAP 형식으로 트래픽을 캡처하고 인덱싱하는 툴킷이었습니다. 또한 인덱싱된 데이터에 빠르게 액세스할 수 있는 도구도 제공합니다. PCAP 형식을 사용하면 Wireshark와 같은 기존 트래픽 분석기와의 통합이 크게 간소화됩니다. 저장된 데이터의 양은 사용 가능한 디스크 어레이의 크기에 의해서만 제한됩니다. 세션 메타데이터는 Elasticsearch 엔진을 기반으로 하는 클러스터에서 인덱싱됩니다.
축적된 정보를 분석하기 위해 샘플을 열람하고 검색하고 내보낼 수 있는 웹 인터페이스를 제안합니다. 웹 인터페이스는 일반 통계, 연결 맵 및 네트워크 활동 변화에 대한 데이터가 포함된 시각적 그래프에서 개별 세션 연구, 사용된 프로토콜 컨텍스트에서 활동 분석 및 PCAP 덤프 데이터 분석을 위한 도구에 이르기까지 다양한 표시 모드를 제공합니다.
타사 애플리케이션이 PCAP 형식의 캡처된 패킷 데이터와 JSON 형식의 구문 분석된 세션을 전달할 수 있도록 API도 제공됩니다.
아르키메 세 가지 기본 구성 요소가 있습니다.
- 트래픽 캡처 시스템은 트래픽 모니터링, 디스크에 PCAP 덤프 쓰기, 캡처된 패킷 분석, 세션 메타데이터(SPI) 및 프로토콜을 Elasticsearch 클러스터로 보내기 위한 다중 스레드 C 애플리케이션입니다. PCAP 파일의 암호화된 저장이 가능합니다.
- 각 트래픽 캡처 서버에서 실행되고 API를 통해 인덱싱된 데이터 액세스 및 PCAP 파일 전송과 관련된 요청을 처리하는 Node.js 플랫폼 기반 웹 인터페이스입니다.
- Elasticsearch 기반 메타데이터 저장소.
Arkime 3.1의 주요 참신함
이 새로운 릴리스 버전에서 눈에 띄는 가장 중요한 변경 사항 중 하나는 프로젝트 이름 변경, 위에서 내가 프로젝트에 대해 논평했기 때문에 이전에는 Moloch로 알려졌으며 개발자는 프로젝트가 성장을 경험했다고 언급합니다. 그리고 중요한 변화 그리고 그들은 이름을 Arkime으로 변경할 때라고 생각했습니다.
눈에 띄는 또 다른 변화는 WISE 구성을 위한 완전히 새로운 사용자 인터페이스, WISE 소스 및 WISE 통계 생성 및 업데이트. 이것은 사용자가 구성 또는 소스 파일에 시간을 할애하지 않고도 WISE를 시작하거나 WISE 서비스를 개선하는 데 도움이 되는 강력한 새 도구입니다.
또한 IETF QUIC, GENEVE, VXLAN-GPE 프로토콜에 대한 지원이 추가되었습니다.또한 Q-in-Q(이중 VLAN) 유형에 대한 지원이 추가되어 VLAN 태그를 두 번째 수준 태그로 캡슐화하여 VLAN 수를 16만개로 확장할 수 있습니다.
눈에 띄는 다른 변경 사항 중 :
- "플로팅" 필드 유형에 대한 지원이 추가되었습니다.
- Amazon Elastic Compute Cloud 라이터는 IMDSv2(인스턴스 메타데이터 서비스) 프로토콜을 사용하도록 이동되었습니다.
- UDP 터널을 추가하기 위한 코드 리팩토링.
- elasticsearchAPIKey 및 elasticsearchBasicAuth에 대한 지원이 추가되었습니다.
마지막으로, 이 새 버전에 대해 더 알고 싶다면 자세한 내용을 참조하십시오. 다음 링크에서.
아르키메 받기
이 유틸리티를 얻는 데 관심이 있는 사람들은 트래픽 캡처 구성 요소의 코드가 C로 작성되고 인터페이스가 Node.js/JavaScript로 구현된다는 것을 알아야 합니다. 소스 코드는 Apache 2.0 라이선스에 따라 배포됩니다. Linux 및 FreeBSD에서 작업이 지원됩니다.
Ready 패키지는 Arch, CentOS 및 Ubuntu가 준비되어 있으며 얻을 수 있습니다. 아래 링크에서.