Arkime

Arkimeは大規模なオープンソースのネットワーク解析およびパケットキャプチャシステムです。

banner

Arkimeは既存のセキュリティインフラを強化し、ネットワークトラフィックを標準PCAP形式で保存・インデックス化し、高速なインデックスアクセスを提供します。直感的でシンプルなWebインターフェースにより、PCAPのブラウズ、検索、エクスポートが可能です。ArkimeはAPIを公開しており、PCAPデータやJSON形式のセッションデータを直接ダウンロード・利用できます。Arkimeはすべてのパケットを標準PCAP形式で保存・エクスポートするため、分析ワークフローでWiresharkなどのお好みのPCAP取り込みツールも使用できます。

Arkimeは複数システムにまたがって展開できるように設計されており、毎秒数十ギガビットのトラフィックを処理可能です。PCAP保存期間はセンサーディスク容量に依存します。メタデータ保存期間はElasticsearchクラスタのスケールに依存します。両方ともいつでも増やすことができ、完全にユーザーの制御下にあります。

詳細はarkime.comをご覧ください

背景

Arkimeは2012年にAOLで商用フルパケットシステムを置き換えるために作成されました。ハードウェアとコストを完全に制御することで、商用ツールを使用した1つのネットワークと同じコストで、すべてのネットワークに完全パケットキャプチャを導入でき、より長い保存期間を実現できることがわかりました。

Arkimeシステムは以下の3つの主要コンポーネントで構成されています。

capture - ネットワークトラフィックを監視し、PCAP形式のファイルをローカルディスクに書き込み、キャプチャしたパケットを解析し、メタデータ（SPIデータ）をOpenSearch/Elasticsearchに送信するスレッド化されたCアプリケーション。
viewer - キャプチャマシンごとに実行されるnode.jsアプリケーション。Webインターフェースとブラウザへのパケット転送を処理します。
OpenSearch/Elasticsearch - Arkimeを支える検索データベース技術。

さらに、いくつかのオプションアプリケーションも提供しています。

cont3xt - 技術調査を支援するために、コンテキストインテリジェンスを構造的に収集するアプリケーション。
esProxy - captureとOpenSearch/Elasticsearchの間に追加のセキュリティを提供するプロキシ。
Parliament - 複数のArkimeクラスタを監視し、そのフロントドアとして機能するアプリケーション。
wiseService - 脅威インテリジェンスをセッションメタデータに統合するアプリケーション。

Arkimeは、ネットワークデータを探索するためのユーザーフレンドリーなWebインターフェースを提供します。Sessionsページでは、個々のセッションをリスト表示し、展開してメタデータやパケットの詳細を確認できます。

SPI Viewページでは、Arkimeが認識する各フィールドのすべてのユニークな値が表示され、データの詳細な内訳を確認できます。

インストール

Arkimeは、事前にビルドされたバイナリまたはコンテナを使用してインストールすることをお勧めします。

推奨方法

事前ビルド済みバイナリ: ダウンロードページから入手可能。簡単インストール手順に従ってください。
コンテナ: 簡単なデプロイのために公式コンテナを提供しています。利用可能なタグや使用方法の詳細については、Dockerの手順を参照してください。

ソースからのビルド（上級者向け）

ソースからのビルドは、上級ユーザーまたはコントリビューターにのみ推奨されます。

nodeがパスに含まれていることを確認してください。現在のmainはNodeバージョン22.xをサポートしています。
git clone https://github.com/arkime/arkime - GitHub上の最新バージョン
.github/workflows/versionsでお使いのOSを確認し、使用するeasybuttonオプションを選択します。
./easybutton-build.sh [easybutton options] --install - Arkimeをビルドしてインストールします（オプションの一覧は./easybutton-build.sh --helpを実行）。
make config - Arkimeの初期設定を実行します。
参加方法についてはCONTRIBUTING.mdファイルを参照してください。

設定

システム設定のほとんどは/opt/arkime/etc/config.iniファイルにあります。変数は設定ページに文書化されています。

使用方法

Arkimeが起動したら、ブラウザでhttp://localhost:8005にアクセスしてWebインターフェースを利用してください。**フクロウをクリックするとArkimeのヘルプページが表示されます。**

セキュリティ

Arkimeへのアクセスは、HTTPSとダイジェストパスワード、または認証を提供するWebサーバープロキシを使用して保護されています。すべてのPCAPはセンサーに保存され、ArkimeインターフェースまたはAPIを介してのみアクセスされます。ArkimeはIDSの代わりとなるものではなく、IDSと連携してすべてのネットワークトラフィックを標準PCAP形式で保存・インデックス化し、高速アクセスを提供することを目的としています。

ArkimeはOpenSearch/Elasticsearchのユーザー認証またはAPIキーを使用するように設定できます。
Arkimeマシンはロックダウンする必要がありますが、互いに通信（ポート8005）し、OpenSearch/Elasticsearchマシン（ポート9200-920x）と通信する必要があります。また、Webインターフェースを開く必要があります（ポート8005）。
ArkimeのviewerはTLSを使用するように設定する必要があります。
- 複数のDNまたはワイルドカードを持つ単一の証明書を使用するのが最も簡単です。
- 適切なファイル権限で証明書をファイルシステム上で保護してください。
- 有効にするには、/opt/arkime/etc/config.iniのcertFileおよびkeyFile設定を編集します。
大規模なデプロイでは、データをキャプチャしない中央マシンにArkimeのviewerを設定し、そのマシンがすべてのUIリクエストをゲートウェイすることが可能です。
- リバースプロキシ（Caddy、Apacheなど）を使用して認証を処理し、ユーザー名をArkimeに渡すことができます。これは私たちがデプロイする方法です。
Arkime設定ファイルに保存された共有パスワードは、パスワードハッシュの暗号化とArkime間通信の両方に使用されます。
- 適切なファイル権限で設定ファイルをファイルシステム上で保護してください。
- 暗号化されたパスワードハッシュを使用するため、OpenSearch/Elasticsearchが保護されていない場合でも、新しいパスワードハッシュを直接挿入できません。

API

Arkime APIの詳細については、APIページをご覧ください。

コントリビュート

参加方法についてはCONTRIBUTING.mdファイルを参照してください。GitHubでの Issue、機能リクエスト、プルリクエスト、ドキュメントの更新を歓迎します。Arkimeの使用法やトラブルシューティングに関する質問は、Slackチャンネルをご利用ください。

メンテナンス担当者

連絡する最善の方法はSlackです。Arkime Slackワークスペースへの招待はこちらからリクエストしてください。

ライセンス

このプロジェクトはApache 2.0オープンソースライセンスの条件に基づいてライセンスされています。完全な条件はLICENSEを参照してください。

arkime v6.7.0

カテゴリ