Arkime

Arkime는 대규모 오픈소스 네트워크 분석 및 패킷 캡처 시스템입니다.

banner

Arkime는 기존 보안 인프라를 보강하여 네트워크 트래픽을 표준 PCAP 형식으로 저장하고 인덱싱하며, 빠른 인덱스 기반 접근을 제공합니다. PCAP 탐색, 검색 및 내보내기를 위한 직관적이고 간단한 웹 인터페이스가 제공됩니다. Arkime는 PCAP 데이터와 JSON 형식의 세션 데이터를 직접 다운로드하고 활용할 수 있는 API를 제공합니다. Arkime는 모든 패킷을 표준 PCAP 형식으로 저장하고 내보내므로, 분석 워크플로에서 Wireshark와 같은 즐겨 사용하는 PCAP 수집 도구를 함께 사용할 수도 있습니다.

Arkime는 여러 시스템에 걸쳐 배포되도록 설계되었으며, 초당 수십 기가비트의 트래픽을 처리할 수 있도록 확장할 수 있습니다. PCAP 보존 기간은 사용 가능한 센서 디스크 공간에 따라 결정됩니다. 메타데이터 보존 기간은 Elasticsearch 클러스터 규모에 따라 결정됩니다. 두 가지 모두 언제든지 늘릴 수 있으며 완전히 사용자의 통제 하에 있습니다.

arkime.com에서 자세히 알아보기

배경

Arkime는 2012년 AOL에서 상용 전체 패킷 시스템을 대체하기 위해 만들어졌습니다. 하드웨어와 비용을 완전히 통제함으로써, 상용 도구로 하나의 네트워크에 적용하는 것과 동일한 비용으로 더 긴 보존 기간을 확보하며 모든 네트워크에 전체 패킷 캡처를 배포할 수 있음을 발견했습니다.

Arkime 시스템은 3가지 주요 구성 요소로 이루어져 있습니다:

capture - 네트워크 트래픽을 모니터링하고, PCAP 형식 파일을 로컬 디스크에 기록하며, 캡처된 패킷을 파싱하고, 메타데이터(SPI 데이터)를 OpenSearch/Elasticsearch로 전송하는 스레드 기반 C 애플리케이션입니다.
viewer - 각 캡처 머신에서 실행되는 node.js 애플리케이션입니다. 웹 인터페이스와 브라우저로의 패킷 전송을 처리합니다.
OpenSearch/Elasticsearch - Arkime를 구동하는 검색 데이터베이스 기술입니다.

또한 몇 가지 선택적 애플리케이션도 제공합니다:

cont3xt - 기술 조사를 지원하기 위해 상황 정보 수집에 구조화된 접근 방식을 제공하는 애플리케이션입니다.
esProxy - capture와 OpenSearch/Elasticsearch 사이에 추가 보안을 제공하는 프록시입니다.
Parliament - 여러 Arkime 클러스터를 모니터링하고 이에 대한 진입점 역할을 하는 애플리케이션입니다.
wiseService - 위협 인텔리전스를 세션 메타데이터에 통합하는 애플리케이션입니다.

Arkime는 네트워크 데이터를 탐색하기 위한 사용자 친화적인 웹 인터페이스를 제공합니다. Sessions 페이지는 포괄적인 개요를 제공하며, 개별 세션을 나열하고 확장하여 메타데이터와 패킷 세부 정보를 볼 수 있습니다.

SPI View 페이지는 데이터에 대한 상세한 분석을 제공하며, Arkime가 인식하는 각 필드의 모든 고유 값을 표시합니다

설치

Arkime는 미리 빌드된 바이너리 또는 컨테이너를 사용하여 설치하는 것을 권장합니다.

권장 방법

사전 빌드된 바이너리: 다운로드 페이지에서 이용할 수 있습니다. 간단한 설치 안내를 따르세요.
컨테이너: 손쉬운 배포를 위해 공식 컨테이너를 제공합니다. 사용 가능한 태그와 사용법에 대한 자세한 내용은 Docker 안내를 참조하세요.

소스에서 빌드 (고급)

소스에서 빌드하는 것은 고급 사용자나 기여자에게만 권장됩니다.

node가 경로에 있는지 확인하세요. 현재 main은 Node 버전 22.x를 지원합니다.
git clone https://github.com/arkime/arkime - github의 최신 버전
사용할 easybutton 옵션은 .github/workflows/versions에서 사용 중인 OS를 찾아보세요.
./easybutton-build.sh [easybutton options] --install - Arkime을 빌드하고 설치합니다 (옵션 목록은 ./easybutton-build.sh --help 실행)
make config - 초기 Arkime 구성을 수행합니다.
참여 방법에 대한 정보는 CONTRIBUTING.md 파일을 참조하세요.

구성

대부분의 시스템 구성은 /opt/arkime/etc/config.ini 파일에 있습니다. 변수는 설정 페이지에 문서화되어 있습니다.

사용법

Arkime이 실행되면 브라우저에서 http://localhost:8005로 접속하여 웹 인터페이스에 접근하세요. Arkime 도움말 페이지로 이동하려면 부엉이를 클릭하세요.

보안

Arkime에 대한 접근은 다이제스트 비밀번호를 사용하는 HTTPS 또는 인증을 제공하는 웹 서버 프록시를 통해 보호됩니다. 모든 PCAP은 센서에 저장되며 Arkime 인터페이스나 API를 통해서만 접근됩니다. Arkime은 IDS를 대체하기 위한 것이 아니라 IDS와 함께 작동하여 모든 네트워크 트래픽을 표준 PCAP 형식으로 저장하고 인덱싱하여 빠른 접근을 제공하기 위한 것입니다.

Arkime은 OpenSearch/Elasticsearch 사용자 인증 또는 API 키를 사용하도록 구성할 수 있습니다.
Arkime 머신은 잠겨 있어야 합니다. 그러나 서로 통신해야 하며(포트 8005) OpenSearch/Elasticsearch 머신(포트 9200-920x)과도 통신해야 합니다. 또한 웹 인터페이스가 열려 있어야 합니다(포트 8005).
Arkime viewer는 TLS를 사용하도록 구성해야 합니다.
- 여러 DN 또는 와일드카드가 있는 단일 인증서를 사용하는 것이 가장 쉽습니다.
- 파일 시스템에서 적절한 파일 권한으로 인증서를 보호하세요.
- 활성화하려면 /opt/arkime/etc/config.ini에서 certFile 및 keyFile 설정을 편집하세요.
대규모 배포의 경우 데이터를 캡처하지 않는 중앙 머신에 Arkime viewer를 설정할 수 있으며, 대신 해당 머신이 모든 UI 요청을 게이트웨이합니다.
- 리버스 프록시(Caddy, Apache, ...)를 사용하면 인증을 처리하고 사용자 이름을 Arkime에 전달할 수 있으며, 이것이 우리가 배포하는 방식입니다.
Arkime 구성 파일에 저장된 공유 비밀번호는 비밀번호 해시를 암호화하고 Arkime 간 통신에 사용됩니다.
- 파일 시스템에서 적절한 파일 권한으로 구성 파일을 보호하세요.
- 암호화된 비밀번호 해시가 사용되므로 OpenSearch/Elasticsearch가 보호되지 않은 경우에도 새 비밀번호 해시를 직접 삽입할 수 없습니다.

API

Arkime API에 대한 자세한 내용은 API 페이지에서 확인할 수 있습니다.

기여

참여 방법에 대한 정보는 CONTRIBUTING.md 파일을 참조하세요. GitHub에서 이슈, 기능 요청, 풀 리퀘스트, 문서 업데이트를 환영합니다. Arkime 사용 및 문제 해결에 대한 질문은 Slack 채널을 이용해 주세요.

유지 관리자

저희에게 연락하는 가장 좋은 방법은 Slack입니다. Arkime Slack 워크스페이스에 참여하려면 여기에서 초대를 요청하세요.

라이선스

이 프로젝트는 Apache 2.0 오픈 소스 라이선스 조건에 따라 라이선스가 부여됩니다. 전체 조건은 LICENSE를 참조하세요.

arkime v6.7.0