PacketStreamer

Deepfence PacketStreamer é uma ferramenta de captura e coleta remota de pacotes de alto desempenho. É usado pela plataforma de observabilidade de segurança ThreatStryker da Deepfence para reunir tráfego de rede sob demanda de cargas de trabalho em nuvem para análise forense.

Principais objetivos de design:

• Permanecer leve, capturar e transmitir, sem processamento adicional
• Portabilidade, funciona em máquinas virtuais, Kubernetes e AWS Fargate. Linux e Windows

Os sensores do PacketStreamer são iniciados nos servidores alvo. Os sensores capturam o tráfego, aplicam filtros e depois transmitem o tráfego para um receptor central. Os fluxos de tráfego podem ser comprimidos e/ou criptografados usando TLS.

O receptor do PacketStreamer aceita fluxos do PacketStreamer de múltiplos sensores remotos e grava os pacotes em um arquivo de captura pcap local.

Os sensores do PacketStreamer coletam pacotes de rede brutos em hosts remotos. Eles selecionam os pacotes para captura usando um filtro BPF e os encaminham para um processo receptor central onde são gravados no formato pcap. Os sensores são muito leves e impõem pouco impacto de desempenho nos hosts remotos. Os sensores do PacketStreamer podem ser executados em servidores bare-metal, em hosts Docker e em nós Kubernetes.

O receptor do PacketStreamer aceita tráfego de rede de múltiplos sensores, coletando-o em um único arquivo pcap central. Você pode então processar o arquivo pcap ou alimentar o tráfego ao vivo para a ferramenta de sua escolha, como Zeek, Wireshark, Suricata, ou como um fluxo ao vivo para modelos de Machine Learning.

Quando usar o PacketStreamer

O PacketStreamer atende a casos de uso mais gerais do que as alternativas existentes. Por exemplo , use o PacketStreamer se você precisar de um método leve e eficiente para coletar dados brutos de rede de várias máquinas para registro e análise centralizados.

Início Rápido

Para instruções completas, consulte a Documentação do PacketStreamer.

Você precisará instalar a toolchain golang e o libpcap-dev antes de construir o PacketStreamer.

# Pre-requisites (Ubuntu): sudo apt install golang-go libpcap-dev
git clone https://github.com/deepfence/PacketStreamer.git
cd PacketStreamer/
make

Execute um receptor PacketStreamer, ouvindo na porta 8081 e gravando a saída pcap em /tmp/dump_file (veja receiver.yaml):

./packetstreamer receiver --config ./contrib/config/receiver.yaml

Execute um ou mais sensores PacketStreamer em hosts locais e remotos. Edite o endereço do servidor em sensor.yaml:

# run on the target hosts to capture and forward traffic

# copy and edit the sample sensor-local.yaml file, and add the address of the receiver host
cp ./contrib/config/sensor-local.yaml ./contrib/config/sensor.yaml

./packetstreamer sensor --config ./contrib/config/sensor.yaml

Quem usa o PacketStreamer?

• A Deepfence ThreatStryker usa o PacketStreamer para capturar tráfego de plataformas de produção para análises forenses e detecção de anomalias.

Entre em contato

Obrigado por usar o PacketStreamer.

• Comece pela documentação
• Tem uma pergunta, precisa de ajuda? Encontre a equipe Deepfence no Slack
• Tem uma solicitação de recurso ou encontrou um bug? Crie uma issue
• productsecurity at deepfence dot io: Encontrou um problema de segurança? Compartilhe em confiança
• Saiba mais em deepfence.io

Segurança e Suporte

Para quaisquer problemas relacionados à segurança no projeto PacketStreamer, entre em contato com productsecurity at deepfence dot io.

Por favor, abra issues no GitHub conforme necessário e junte-se ao canal do Slack da Comunidade Deepfence.

Licença

O projeto Deepfence PacketStreamer (este repositório) é oferecido sob a licença Apache2.

As contribuições ao projeto Deepfence PacketStreamer são igualmente aceitas sob a licença Apache2, conforme a política de inbound=outbound do GitHub.