Arkime

Arkime は大規模なオープンソースのネットワーク分析およびパケットキャプチャシステムです。

banner

Arkime は、既存のセキュリティインフラストラクチャを拡張して、ネットワークトラフィックを標準 PCAP 形式で保存およびインデックス化し、高速でインデックス化されたアクセスを提供します。PCAP の閲覧、検索、エクスポートのための直感的でシンプルな Web インターフェースを提供します。Arkime は API を公開しており、PCAP データと JSON 形式のセッションデータをダウンロードして直接利用できます。Arkime はすべてのパケットを標準 PCAP 形式で保存およびエクスポートするため、分析ワークフローの中で Wireshark などお気に入りの PCAP 取り込みツールを使用することもできます。

Arkime は多数のシステムにまたがって展開できるように構築されており、数十ギガビット/秒のトラフィックを処理できるようにスケールします。PCAP の保持期間は、利用可能なセンサーのディスク容量に基づきます。メタデータの保持期間は、Elasticsearch クラスターの規模に基づきます。どちらもいつでも増やすことができ、完全にあなたの管理下にあります。

arkime.com で詳しく見る

背景

Arkime は、2012 年に AOL で商用のフルパケットシステムを置き換えるために作成されました。ハードウェアとコストを完全に制御することで、商用ツールを使って 1 つのネットワークに展開するのと同じコストで、より長い保持期間を実現しつつ、すべてのネットワークにフルパケットキャプチャを展開できることがわかりました。

Arkime システムは 3 つの主要コンポーネントで構成されています:

capture - ネットワークトラフィックを監視し、PCAP 形式のファイルをローカルディスクに書き込み、キャプチャしたパケットを解析し、メタデータ (SPI データ) を OpenSearch/Elasticsearch に送信する、スレッド化された C アプリケーション。
viewer - 各キャプチャマシン上で実行される node.js アプリケーション。Web インターフェースとブラウザへのパケット転送を処理します。
OpenSearch/Elasticsearch - Arkime を支える検索データベース技術。

また、いくつかのオプションのアプリケーションも提供しています:

cont3xt - 技術調査を支援するためのコンテキストインテリジェンスを構造化されたアプローチで収集するアプリケーション。
esProxy - capture と OpenSearch/Elasticsearch の間に追加のセキュリティを提供するプロキシ。
Parliament - 複数の Arkime クラスターを監視し、そのフロントドアとなるアプリケーション。
wiseService - 脅威インテリジェンスをセッションメタデータに統合するアプリケーション。

Arkime はネットワークデータを探索するためのユーザーフレンドリーな Web インターフェースを提供します。Sessions ページでは、個々のセッションを一覧表示する包括的な概要が提供され、各セッションを展開してメタデータとパケットの詳細を表示できます。

SPI View ページでは、Arkime が認識する各フィールドのすべての一意の値を表示する、データの詳細な内訳を提供します

インストール

Arkime は、ビルド済みのバイナリまたはコンテナのいずれかを使用してインストールすることをお勧めします。

推奨される方法

ビルド済みバイナリ: ダウンロードページから入手できます。簡単インストール手順に従ってください。
コンテナ: 簡単にデプロイできる公式コンテナを提供しています。利用可能なタグと使用方法の詳細については、Docker の手順を参照してください。

ソースからのビルド (上級者向け)

ソースからのビルドは、上級ユーザーまたはコントリビューターにのみ推奨されます。

node がパスに含まれていることを確認してください。現在 main は Node バージョン 22.x をサポートしています
git clone https://github.com/arkime/arkime - github 上の最新バージョン
使用する easybutton オプションについては、.github/workflows/versions でお使いの OS を確認してください
./easybutton-build.sh [easybutton options] --install - Arkime をビルドしてインストールします (オプションの一覧は ./easybutton-build.sh --help を実行してください)
make config - 初期の Arkime 設定を実行します
参加方法については CONTRIBUTING.md ファイルを参照してください

設定

システム設定のほとんどは /opt/arkime/etc/config.ini ファイルにあります。変数については設定ページで説明されています。

使用方法

Arkime が起動したら、ブラウザで http://localhost:8005 にアクセスして Web インターフェースを開きます。フクロウをクリックすると Arkime のヘルプページに移動します。

セキュリティ

Arkime へのアクセスは、ダイジェストパスワードを用いた HTTPS、または認証を提供する Web サーバープロキシを使用して保護されます。すべての PCAP はセンサー上に保存され、Arkime インターフェースまたは API を介してのみアクセスされます。Arkime は IDS を置き換えるものではなく、IDS と並行して動作し、すべてのネットワークトラフィックを標準 PCAP 形式で保存・インデックス化して高速なアクセスを提供することを目的としています。

Arkime は OpenSearch/Elasticsearch のユーザー認証または API キーを使用するように設定できます。
Arkime のマシンはロックダウンすべきですが、互いに通信する必要があります (ポート 8005)。また、OpenSearch/Elasticsearch のマシンとも通信する必要があります (ポート 9200-920x)。さらに、Web インターフェースを公開する必要があります (ポート 8005)。
Arkime の viewer は TLS を使用するように設定すべきです。
- 複数の DN を持つ単一の証明書、またはワイルドカードを使用するのが最も簡単です。
- ファイルシステム上の証明書は適切なファイルパーミッションで保護してください。
- 有効にするには /opt/arkime/etc/config.ini の certFile と keyFile 設定を編集してください。
大規模なデプロイでは、データをキャプチャしない中央のマシンに Arkime の viewer をセットアップし、そのマシンですべての UI リクエストをゲートウェイすることが可能です。
- リバースプロキシ (Caddy、Apache など) を使用すると認証を処理し、ユーザー名を Arkime に渡すことができます。これが私たちのデプロイ方法です。
Arkime 設定ファイルに保存された共有パスワードは、パスワードハッシュの暗号化 AND Arkime 間の通信に使用されます。
- ファイルシステム上の設定ファイルは適切なファイルパーミッションで保護してください。
- 暗号化されたパスワードハッシュが使用されるため、OpenSearch/Elasticsearch が保護されていない場合でも、新しいパスワードハッシュを直接挿入することはできません。

API

Arkime API の詳細については、API ページを参照してください。

コントリビュート

参加方法については CONTRIBUTING.md ファイルを参照してください。GitHub での issue、機能リクエスト、プルリクエスト、ドキュメントの更新を歓迎します。Arkime の使用やトラブルシューティングに関する質問は、Slack チャンネルをご利用ください。

メンテナー

私たちに連絡する最良の方法は Slack です。Arkime Slack ワークスペースへの参加招待はこちらからリクエストしてください。

ライセンス

このプロジェクトは Apache 2.0 オープンソースライセンスの条件の下でライセンスされています。完全な条件については LICENSE を参照してください。

arkime last-commit6