Arkime

Arkime é um sistema de captura de pacotes e análise de rede de código aberto em larga escala.

banner

O Arkime complementa sua infraestrutura de segurança atual para armazenar e indexar o tráfego de rede no formato PCAP padrão, proporcionando acesso rápido e indexado. Uma interface web intuitiva e simples é fornecida para navegação, pesquisa e exportação de PCAP. O Arkime expõe APIs que permitem que dados PCAP e dados de sessão formatados em JSON sejam baixados e consumidos diretamente. O Arkime armazena e exporta todos os pacotes no formato PCAP padrão, permitindo que você também use suas ferramentas favoritas de ingestão de PCAP, como o Wireshark, durante seu fluxo de trabalho de análise.

O Arkime foi projetado para ser implantado em muitos sistemas e pode escalar para lidar com dezenas de gigabits/seg de tráfego. A retenção de PCAP é baseada no espaço em disco disponível do sensor. A retenção de metadados é baseada na escala do cluster Elasticsearch. Ambos podem ser aumentados a qualquer momento e estão sob seu controle total.

Saiba mais em arkime.com

Contexto

O Arkime foi criado para substituir sistemas comerciais de pacotes completos na AOL em 2012. Ao ter controle completo do hardware e dos custos, descobrimos que podíamos implantar a captura de pacotes completos em todas as nossas redes pelo mesmo custo de apenas uma rede usando uma ferramenta comercial, com maior retenção.

O sistema Arkime é composto por 3 componentes principais:

capture - Uma aplicação C com threads que monitora o tráfego de rede, grava arquivos no formato PCAP no disco local, analisa os pacotes capturados e envia metadados (dados SPI) para o OpenSearch/Elasticsearch.
viewer - Uma aplicação node.js que é executada por máquina de captura. Ela gerencia a interface web e a transferência de pacotes para o navegador.
OpenSearch/Elasticsearch - A tecnologia de banco de dados de pesquisa que alimenta o Arkime.

Também fornecemos várias aplicações opcionais:

cont3xt - Uma aplicação que fornece uma abordagem estruturada para reunir inteligência contextual em apoio a investigações técnicas.
esProxy - Um proxy que fornece segurança extra entre a captura e o OpenSearch/Elasticsearch.
Parliament - Uma aplicação que monitora e é a porta de entrada para múltiplos clusters Arkime.
wiseService - Uma aplicação que integra inteligência de ameaças aos metadados da sessão.

O Arkime oferece uma interface web amigável para explorar dados de rede. A página Sessions fornece uma visão geral abrangente, listando sessões individuais que podem ser expandidas para visualizar metadados e detalhes dos pacotes.

A página SPI View oferece uma análise detalhada dos dados, exibindo todos os valores exclusivos para cada campo reconhecido pelo Arkime

Instalação

Recomendamos instalar o Arkime usando nossos binários pré-compilados ou contêineres.

Métodos Recomendados

Binários Pré-compilados: Disponíveis na nossa página de Downloads. Siga as instruções de instalação simples.
Contêineres: Fornecemos contêineres oficiais para facilitar a implantação. Consulte nossas instruções do Docker para detalhes sobre as tags disponíveis e o uso.

Compilando a partir do Código-Fonte (Avançado)

A compilação a partir do código-fonte é recomendada apenas para usuários avançados ou contribuidores.

Certifique-se de que node está no seu path, atualmente o main suporta a versão 22.x do Node
git clone https://github.com/arkime/arkime - versão mais recente no github
Encontre seu SO em .github/workflows/versions para as opções do easybutton a serem usadas
./easybutton-build.sh [easybutton options] --install - compila e instala o Arkime (Execute ./easybutton-build.sh --help para a lista de opções)
make config - realiza uma configuração inicial do Arkime
Consulte o arquivo CONTRIBUTING.md para informações sobre como se envolver

Configuração

A maior parte da configuração do sistema está localizada no arquivo /opt/arkime/etc/config.ini. As variáveis estão documentadas na nossa página de Configurações.

Uso

Depois que o Arkime estiver em execução, aponte seu navegador para http://localhost:8005 para acessar a interface web. Clique na Coruja para acessar a página de ajuda do Arkime.

Segurança

O acesso ao Arkime é protegido usando HTTPS com senhas digest ou usando um proxy de servidor web que fornece autenticação. Todos os PCAPs são armazenados nos sensores e são acessados apenas usando a interface ou API do Arkime. O Arkime não tem a finalidade de substituir um IDS, mas sim de trabalhar junto a eles para armazenar e indexar todo o tráfego de rede no formato PCAP padrão, proporcionando acesso rápido.

O Arkime pode ser configurado para usar autenticação de usuário ou chaves de API do OpenSearch/Elasticsearch.
As máquinas do Arkime devem ser protegidas; no entanto, elas precisam se comunicar entre si (porta 8005) e com as máquinas OpenSearch/Elasticsearch (portas 9200-920x). Além disso, a interface web precisa estar aberta (porta 8005).
O viewer do Arkime deve ser configurado para usar TLS.
- É mais fácil usar um único certificado com múltiplos DNs ou um curinga.
- Certifique-se de proteger o certificado no sistema de arquivos com as permissões de arquivo adequadas.
- Edite as configurações certFile e keyFile em /opt/arkime/etc/config.ini para habilitar.
Para grandes implantações, é possível configurar um viewer do Arkime em uma máquina central que não captura nenhum dado; em vez disso, a máquina faz o gateway de todas as requisições da UI.
- Usar um proxy reverso (Caddy, Apache, ...) pode lidar com a autenticação e passar o nome de usuário para o Arkime, é assim que o implantamos.
Uma senha compartilhada armazenada no arquivo de configuração do Arkime é usada para criptografar hashes de senha E para a comunicação entre instâncias do Arkime.
- Certifique-se de proteger o arquivo de configuração no sistema de arquivos com as permissões de arquivo adequadas.
- Hashes de senha criptografados são usados para que um novo hash de senha não possa ser inserido diretamente no OpenSearch/Elasticsearch caso ele não tenha sido protegido.

API

Você pode aprender mais sobre a API do Arkime na nossa página da API.

arkime last-commit6