Arkime

Arkime एक बड़े पैमाने पर, ओपन-सोर्स नेटवर्क विश्लेषण और पैकेट कैप्चर सिस्टम है।

Arkime आपके वर्तमान सुरक्षा ढांचे को बढ़ाता है ताकि नेटवर्क ट्रैफ़िक को मानक PCAP प्रारूप में संग्रहीत और अनुक्रमित किया जा सके, जिससे तेज़, अनुक्रमित पहुँच प्रदान होती है। PCAP ब्राउज़िंग, खोज और निर्यात के लिए एक सहज और सरल वेब इंटरफ़ेस प्रदान किया गया है। Arkime ऐसे API प्रदान करता है जो PCAP डेटा और JSON प्रारूपित सत्र डेटा को सीधे डाउनलोड और उपभोग करने की अनुमति देते हैं। Arkime सभी पैकेट को मानक PCAP प्रारूप में संग्रहीत और निर्यात करता है, जिससे आप अपने विश्लेषण कार्यप्रवाह के दौरान Wireshark जैसे अपने पसंदीदा PCAP इनजेस्टिंग टूल का भी उपयोग कर सकते हैं।

Arkime को कई सिस्टमों में तैनात करने के लिए बनाया गया है और यह दसियों गीगाबिट/सेकंड ट्रैफ़िक को संभालने के लिए स्केल कर सकता है। PCAP प्रतिधारण उपलब्ध सेंसर डिस्क स्थान पर आधारित है। मेटाडेटा प्रतिधारण Elasticsearch क्लस्टर के पैमाने पर आधारित है। दोनों को किसी भी समय बढ़ाया जा सकता है और ये आपके पूर्ण नियंत्रण में हैं।

arkime.com पर और जानें

विषय-सूची

• पृष्ठभूमि
• इंस्टॉलेशन
• कॉन्फ़िगरेशन
• उपयोग
• सुरक्षा
• API
• योगदान करें
• लाइसेंस

पृष्ठभूमि

Arkime को 2012 में AOL में वाणिज्यिक फुल पैकेट सिस्टम को बदलने के लिए बनाया गया था। हार्डवेयर और लागत पर पूर्ण नियंत्रण होने के कारण, हमने पाया कि हम अपने सभी नेटवर्कों में फुल पैकेट कैप्चर उसी लागत पर तैनात कर सकते हैं जितनी लागत एक वाणिज्यिक टूल का उपयोग करते हुए केवल एक नेटवर्क पर आती थी, और अधिक प्रतिधारण के साथ।

Arkime सिस्टम में 3 मुख्य घटक होते हैं:

• capture - एक थ्रेडेड C एप्लिकेशन जो नेटवर्क ट्रैफ़िक की निगरानी करता है, PCAP प्रारूपित फ़ाइलों को स्थानीय डिस्क पर लिखता है, कैप्चर किए गए पैकेट को पार्स करता है, और मेटाडेटा (SPI डेटा) को OpenSearch/Elasticsearch को भेजता है।
• viewer - एक node.js एप्लिकेशन जो प्रत्येक कैप्चर मशीन पर चलता है। यह वेब इंटरफ़ेस और ब्राउज़र तक पैकेट के स्थानांतरण को संभालता है।
• OpenSearch/Elasticsearch - वह सर्च डेटाबेस तकनीक जो Arkime को शक्ति प्रदान करती है।

हम कई वैकल्पिक एप्लिकेशन भी प्रदान करते हैं:

• cont3xt - एक एप्लिकेशन जो तकनीकी जाँचों के समर्थन में प्रासंगिक खुफिया जानकारी एकत्र करने के लिए एक संरचित दृष्टिकोण प्रदान करता है।
• esProxy - एक प्रॉक्सी जो capture और OpenSearch/Elasticsearch के बीच अतिरिक्त सुरक्षा प्रदान करता है।
• Parliament - एक एप्लिकेशन जो कई Arkime क्लस्टरों की निगरानी करता है और उनका प्रवेश द्वार है।
• wiseService - एक एप्लिकेशन जो थ्रेट इंटेलिजेंस को सत्र मेटाडेटा में एकीकृत करता है।

Arkime नेटवर्क डेटा का पता लगाने के लिए एक उपयोगकर्ता-अनुकूल वेब इंटरफ़ेस प्रदान करता है। Sessions पृष्ठ एक व्यापक अवलोकन प्रदान करता है, जिसमें व्यक्तिगत सत्रों को सूचीबद्ध किया जाता है जिन्हें मेटाडेटा और पैकेट विवरण देखने के लिए विस्तारित किया जा सकता है।

SPI View पृष्ठ डेटा का विस्तृत विवरण प्रदान करता है, जिसमें Arkime द्वारा पहचाने गए प्रत्येक फ़ील्ड के सभी अद्वितीय मान प्रदर्शित होते हैं

इंस्टॉलेशन

हम Arkime को हमारे पूर्व-निर्मित बाइनरी या कंटेनर का उपयोग करके इंस्टॉल करने की सलाह देते हैं।

अनुशंसित विधियाँ

• प्रीबिल्ट बाइनरीज़: हमारे Downloads पृष्ठ पर उपलब्ध हैं। सरल इंस्टॉल निर्देशों का पालन करें।
• कंटेनर: आसान परिनियोजन के लिए हम आधिकारिक कंटेनर प्रदान करते हैं। उपलब्ध टैग और उपयोग के विवरण के लिए कृपया हमारे Docker निर्देशों को देखें।

स्रोत से निर्माण (उन्नत)

स्रोत से निर्माण केवल उन्नत उपयोगकर्ताओं या योगदानकर्ताओं के लिए अनुशंसित है।

• सुनिश्चित करें कि node आपके path में है, वर्तमान में main, Node संस्करण 22.x का समर्थन करता है
• git clone https://github.com/arkime/arkime - github पर नवीनतम संस्करण
• उपयोग करने के लिए easybutton विकल्पों हेतु .github/workflows/versions में अपना OS खोजें
• ./easybutton-build.sh [easybutton options] --install - Arkime का निर्माण और इंस्टॉल करें (विकल्पों की सूची के लिए ./easybutton-build.sh --help चलाएँ)
• make config - प्रारंभिक Arkime कॉन्फ़िगरेशन करता है
• शामिल होने के तरीके के बारे में जानकारी के लिए CONTRIBUTING.md फ़ाइल देखें

कॉन्फ़िगरेशन

अधिकांश सिस्टम कॉन्फ़िगरेशन /opt/arkime/etc/config.ini फ़ाइल में स्थित है। चरों का दस्तावेज़ीकरण हमारे Settings पृष्ठ पर किया गया है।

उपयोग

Arkime के चलने के बाद, वेब इंटरफ़ेस तक पहुँचने के लिए अपने ब्राउज़र को http://localhost:8005 पर ले जाएँ। Arkime सहायता पृष्ठ तक पहुँचने के लिए Owl पर क्लिक करें।

सुरक्षा

Arkime तक पहुँच digest पासवर्ड के साथ HTTPS का उपयोग करके या प्रमाणीकरण प्रदान करने वाले वेब सर्वर प्रॉक्सी का उपयोग करके सुरक्षित की जाती है। सभी PCAPs सेंसर पर संग्रहीत होते हैं और केवल Arkime इंटरफ़ेस या API का उपयोग करके उन्हें एक्सेस किया जाता है। Arkime का उद्देश्य IDS को प्रतिस्थापित करना नहीं है, बल्कि उनके साथ मिलकर काम करते हुए सभी नेटवर्क ट्रैफ़िक को मानक PCAP प्रारूप में संग्रहीत और अनुक्रमित करना है, जिससे तेज़ पहुँच प्रदान होती है।

• Arkime को OpenSearch/Elasticsearch उपयोगकर्ता प्रमाणीकरण या API कुंजियों का उपयोग करने के लिए कॉन्फ़िगर किया जा सकता है।

• Arkime मशीनों को लॉकडाउन किया जाना चाहिए; हालाँकि, उन्हें एक-दूसरे के साथ (पोर्ट 8005) और OpenSearch/Elasticsearch मशीनों (पोर्ट 9200-920x) के साथ संचार करने की आवश्यकता होती है। इसके अतिरिक्त, वेब इंटरफ़ेस को खुला (पोर्ट 8005) रखना आवश्यक है।

• Arkime viewer को TLS का उपयोग करने के लिए कॉन्फ़िगर किया जाना चाहिए।

  • कई DNs या वाइल्डकार्ड के साथ एकल प्रमाणपत्र का उपयोग करना सबसे आसान है।
  • सुनिश्चित करें कि आप उचित फ़ाइल अनुमतियों के साथ फ़ाइलसिस्टम पर प्रमाणपत्र की सुरक्षा करते हैं।
  • सक्षम करने के लिए /opt/arkime/etc/config.ini में certFile और keyFile सेटिंग्स संपादित करें।

• बड़े परिनियोजन के लिए एक केंद्रीय मशीन पर Arkime viewer सेट करना संभव है जो कोई डेटा कैप्चर नहीं करती, बल्कि वह मशीन सभी UI अनुरोधों को गेटवे करती है।

  • रिवर्स प्रॉक्सी (Caddy, Apache, ...) का उपयोग करके प्रमाणीकरण संभाला जा सकता है और उपयोगकर्ता नाम Arkime को पास किया जा सकता है, हम इसी तरह इसे परिनियोजित करते हैं।

• Arkime कॉन्फ़िगरेशन फ़ाइल में संग्रहीत एक साझा पासवर्ड का उपयोग पासवर्ड हैश को एन्क्रिप्ट करने और Arkime के आपसी संचार के लिए किया जाता है।

  • सुनिश्चित करें कि आप उचित फ़ाइल अनुमतियों के साथ फ़ाइलसिस्टम पर कॉन्फ़िग फ़ाइल की सुरक्षा करते हैं।
  • एन्क्रिप्टेड पासवर्ड हैश का उपयोग किया जाता है ताकि यदि OpenSearch/Elasticsearch सुरक्षित न किया गया हो तो उसमें सीधे नया पासवर्ड हैश न डाला जा सके।

API

आप हमारे API पृष्ठ पर Arkime API के बारे में अधिक जान सकते हैं।

योगदान करें