Arkime

Arkime est un système open-source d'analyse réseau et de capture de paquets à grande échelle.

banner

Arkime complète votre infrastructure de sécurité existante en stockant et en indexant le trafic réseau au format PCAP standard, offrant un accès rapide et indexé. Une interface web intuitive et simple est fournie pour la navigation, la recherche et l'exportation de PCAP. Arkime expose des API qui permettent de télécharger et d'exploiter directement les données PCAP et les données de session au format JSON. Arkime stocke et exporte tous les paquets au format PCAP standard, vous permettant également d'utiliser vos outils d'ingestion PCAP préférés, tels que Wireshark, dans votre flux d'analyse.

Arkime est conçu pour être déployé sur de nombreux systèmes et peut s'adapter pour gérer des dizaines de gigabits/seconde de trafic. La rétention des PCAP dépend de l'espace disque disponible sur les capteurs. La rétention des métadonnées dépend de l'échelle du cluster Elasticsearch. Les deux peuvent être augmentées à tout moment et sont sous votre contrôle total.

En savoir plus sur arkime.com

Contexte

Arkime a été créé pour remplacer les systèmes commerciaux de capture complète de paquets chez AOL en 2012. En ayant le contrôle total du matériel et des coûts, nous avons constaté que nous pouvions déployer la capture complète de paquets sur l'ensemble de nos réseaux pour le même coût qu'un seul réseau utilisant un outil commercial, avec une rétention plus importante.

Le système Arkime est composé de 3 composants principaux :

capture - Une application C multithread qui surveille le trafic réseau, écrit les fichiers au format PCAP sur le disque local, analyse les paquets capturés et envoie les métadonnées (données SPI) à OpenSearch/Elasticsearch.
viewer - Une application node.js qui s'exécute sur chaque machine de capture. Elle gère l'interface web et le transfert des paquets vers le navigateur.
OpenSearch/Elasticsearch - La technologie de base de données de recherche qui alimente Arkime.

Nous fournissons également plusieurs applications optionnelles :

cont3xt - Une application qui fournit une approche structurée pour la collecte de renseignements contextuels à l'appui d'enquêtes techniques.
esProxy - Un proxy qui assure une sécurité supplémentaire entre la capture et OpenSearch/Elasticsearch.
Parliament - Une application qui surveille et sert de point d'entrée à plusieurs clusters Arkime.
wiseService - Une application qui intègre le renseignement sur les menaces dans les métadonnées de session.

Arkime offre une interface web conviviale pour explorer les données réseau. La page Sessions fournit un aperçu complet, listant les sessions individuelles qui peuvent être développées pour afficher les métadonnées et les détails des paquets.

La page SPI View offre une répartition détaillée des données, affichant toutes les valeurs uniques pour chaque champ reconnu par Arkime

Installation

Nous recommandons d'installer Arkime à l'aide de nos binaires précompilés ou de nos conteneurs.

Méthodes recommandées

Binaires précompilés : Disponibles sur notre page de téléchargements. Suivez les instructions d'installation simples.
Conteneurs : Nous fournissons des conteneurs officiels pour un déploiement facile. Veuillez consulter nos instructions Docker pour plus de détails sur les tags disponibles et leur utilisation.

Compilation depuis les sources (avancé)

La compilation depuis les sources n'est recommandée que pour les utilisateurs avancés ou les contributeurs.

Assurez-vous que node est dans votre path, actuellement la branche principale prend en charge la version 22.x de Node
git clone https://github.com/arkime/arkime - dernière version sur github
Trouvez votre OS dans .github/workflows/versions pour les options easybutton à utiliser
./easybutton-build.sh [easybutton options] --install - compile et installe Arkime (Exécutez ./easybutton-build.sh --help pour la liste des options)
make config - effectue une configuration initiale d'Arkime
Consultez le fichier CONTRIBUTING.md pour savoir comment vous impliquer

Configuration

La majeure partie de la configuration du système se trouve dans le fichier /opt/arkime/etc/config.ini. Les variables sont documentées sur notre page Settings.

Utilisation

Une fois Arkime en cours d'exécution, pointez votre navigateur vers http://localhost:8005 pour accéder à l'interface web. Cliquez sur la chouette pour accéder à la page d'aide d'Arkime.

Sécurité

L'accès à Arkime est protégé par HTTPS avec des mots de passe digest ou par un proxy de serveur web fournissant l'authentification. Tous les PCAP sont stockés sur les sensors et ne sont accessibles que via l'interface ou l'API d'Arkime. Arkime n'a pas vocation à remplacer un IDS mais à fonctionner à ses côtés pour stocker et indexer tout le trafic réseau au format PCAP standard, offrant un accès rapide.

Arkime peut être configuré pour utiliser l'authentification utilisateur OpenSearch/Elasticsearch ou des clés API.
Les machines Arkime doivent être verrouillées ; cependant, elles doivent communiquer entre elles (port 8005) et avec les machines OpenSearch/Elasticsearch (ports 9200-920x). De plus, l'interface web doit être ouverte (port 8005).
Le viewer d'Arkime doit être configuré pour utiliser TLS.
- Le plus simple est d'utiliser un certificat unique avec plusieurs DN ou un wildcard.
- Assurez-vous de protéger le certificat sur le système de fichiers avec des permissions de fichier appropriées.
- Modifiez les paramètres certFile et keyFile dans /opt/arkime/etc/config.ini pour l'activer.
Pour les déploiements volumineux, il est possible de configurer un viewer Arkime sur une machine centrale qui ne capture aucune donnée ; à la place, la machine sert de passerelle pour toutes les requêtes UI.
- L'utilisation d'un reverse proxy (Caddy, Apache, ...) peut gérer l'authentification et transmettre le nom d'utilisateur à Arkime, c'est ainsi que nous le déployons.
Un mot de passe partagé stocké dans le fichier de configuration d'Arkime est utilisé pour chiffrer les hachages de mots de passe ET pour la communication entre instances Arkime.

arkime v6.7.0