Arkime

Arkime — это масштабная открытая система сетевого анализа и захвата пакетов.

banner

Arkime дополняет вашу существующую инфраструктуру безопасности, сохраняя и индексируя сетевой трафик в стандартном формате PCAP и обеспечивая быстрый индексированный доступ. Предоставляется интуитивно понятный и простой веб-интерфейс для просмотра, поиска и экспорта PCAP. Arkime предоставляет API, которые позволяют напрямую скачивать и использовать данные PCAP и данные сессий в формате JSON. Arkime сохраняет и экспортирует все пакеты в стандартном формате PCAP, что позволяет также использовать ваши любимые инструменты обработки PCAP, такие как Wireshark, в процессе анализа.

Arkime создан для развёртывания на множестве систем и может масштабироваться для обработки десятков гигабит в секунду трафика. Хранение PCAP зависит от доступного дискового пространства сенсоров. Хранение метаданных зависит от масштаба кластера Elasticsearch. Оба параметра можно увеличить в любое время, и они находятся под вашим полным контролем.

Узнать больше на arkime.com

Предыстория

Arkime был создан для замены коммерческих систем полного захвата пакетов в AOL в 2012 году. Получив полный контроль над оборудованием и затратами, мы обнаружили, что можем развернуть полный захват пакетов во всех наших сетях за ту же стоимость, что и одна сеть с использованием коммерческого инструмента, но с большим сроком хранения.

Система Arkime состоит из 3 основных компонентов:

capture — многопоточное приложение на C, которое отслеживает сетевой трафик, записывает файлы в формате PCAP на локальный диск, разбирает захваченные пакеты и отправляет метаданные (данные SPI) в OpenSearch/Elasticsearch.
viewer — приложение на node.js, работающее на каждой машине захвата. Оно обслуживает веб-интерфейс и передачу пакетов в браузер.
OpenSearch/Elasticsearch — технология поисковой базы данных, обеспечивающая работу Arkime.

Мы также предоставляем несколько дополнительных приложений:

cont3xt — приложение, которое обеспечивает структурированный подход к сбору контекстной информации в поддержку технических расследований.
esProxy — прокси, обеспечивающий дополнительную безопасность между capture и OpenSearch/Elasticsearch.
Parliament — приложение, которое отслеживает несколько кластеров Arkime и служит входной точкой к ним.
wiseService — приложение, которое интегрирует threat intelligence в метаданные сессий.

Arkime предлагает удобный веб-интерфейс для изучения сетевых данных. Страница Sessions предоставляет исчерпывающий обзор, перечисляя отдельные сессии, которые можно развернуть для просмотра метаданных и сведений о пакетах.

Страница SPI View предлагает подробную разбивку данных, отображая все уникальные значения для каждого поля, распознаваемого Arkime

Установка

Мы рекомендуем устанавливать Arkime с помощью наших готовых бинарных файлов или контейнеров.

Сборка из исходного кода (для продвинутых пользователей)

Сборка из исходного кода рекомендуется только для продвинутых пользователей или участников проекта.

Убедитесь, что node находится в вашем PATH; в настоящее время основная ветка поддерживает Node версии 22.x
git clone https://github.com/arkime/arkime — последняя версия на GitHub
Найдите свою ОС в .github/workflows/versions, чтобы узнать доступные параметры easybutton
./easybutton-build.sh [easybutton options] --install — сборка и установка Arkime (запустите ./easybutton-build.sh --help для получения списка параметров)
make config — выполняет начальную настройку Arkime
Обратитесь к файлу CONTRIBUTING.md за информацией о том, как принять участие в проекте

Конфигурация

Большая часть системной конфигурации находится в файле /opt/arkime/etc/config.ini. Переменные описаны на нашей странице настроек.

Использование

После запуска Arkime откройте в браузере http://localhost:8005 для доступа к веб-интерфейсу. Нажмите на сову, чтобы перейти на страницу справки Arkime.

Безопасность

Доступ к Arkime защищён с помощью HTTPS с дайджест-паролями или с помощью веб-сервера-прокси, обеспечивающего аутентификацию. Все PCAP-файлы хранятся на сенсорах, и доступ к ним осуществляется только через интерфейс или API Arkime. Arkime не предназначен для замены IDS, а должен работать вместе с ними, сохраняя и индексируя весь сетевой трафик в стандартном формате PCAP и обеспечивая быстрый доступ.

Arkime можно настроить для использования аутентификации пользователей OpenSearch/Elasticsearch или API-ключей.
Машины Arkime должны быть защищены; однако им необходимо взаимодействовать друг с другом (порт 8005) и с машинами OpenSearch/Elasticsearch (порты 9200-920x). Кроме того, веб-интерфейс должен быть открыт (порт 8005).
Компонент Arkime viewer должен быть настроен для использования TLS.
- Проще всего использовать один сертификат с несколькими DN или подстановочный сертификат.
- Убедитесь, что сертификат защищён на файловой системе надлежащими правами доступа.
- Отредактируйте параметры certFile и keyFile в /opt/arkime/etc/config.ini, чтобы включить его.
Для крупных развёртываний можно настроить Arkime viewer на центральной машине, которая не захватывает данные, а вместо этого выступает шлюзом для всех запросов UI.
- Использование обратного прокси (Caddy, Apache, ...) позволяет обрабатывать аутентификацию и передавать имя пользователя в Arkime; именно так мы развёртываем систему.
Общий пароль, хранящийся в файле конфигурации Arkime, используется для шифрования хешей паролей И для взаимодействия между экземплярами Arkime.
- Убедитесь, что файл конфигурации защищён на файловой системе надлежащими правами доступа.
- Зашифрованные хеши паролей используются для того, чтобы новый хеш пароля нельзя было вставить непосредственно в OpenSearch/Elasticsearch в случае, если он не был защищён.

API

Подробнее об API Arkime можно узнать на нашей странице API.

arkime v6.7.0