Malcolm

Malcolm — это мощный набор инструментов анализа сетевого трафика, разработанный с учётом следующих целей:

• Простота использования – Malcolm принимает данные сетевого трафика в виде полных захватов пакетов (PCAP), журналов Zeek и оповещений Suricata. Эти артефакты можно загрузить через простой веб-интерфейс или пассивно собирать в реальном времени и пересылать в Malcolm с помощью легковесных форвардеров. В любом случае данные автоматически нормализуются, обогащаются и коррелируются для анализа.
• Мощный анализ трафика – Видимость сетевых коммуникаций обеспечивается через два интуитивных интерфейса: OpenSearch Dashboards, гибкий плагин визуализации данных с десятками готовых панелей, предоставляющих обзор сетевых протоколов с первого взгляда; и Arkime, мощный инструмент для поиска и идентификации сетевых сеансов, составляющих предполагаемые инциденты безопасности.
• Упрощённое развёртывание – Malcolm работает как кластер программных контейнеров – изолированных песочниц, каждая из которых выполняет свою функцию системы. Эта модель развёртывания на основе контейнеров в сочетании с несколькими простыми сценариями для настройки и управления во время выполнения делает Malcolm подходящим для быстрого развёртывания на различных платформах и в различных сценариях использования; будь то долгосрочное развёртывание на сервере Linux в центре мониторинга безопасности (SOC) или реагирование на инциденты на Macbook для отдельного случая.
• Безопасная связь – Все коммуникации с Malcolm, как из пользовательского интерфейса, так и от удалённых форвардеров журналов, защищены с помощью стандартных отраслевых протоколов шифрования.
• Разрешительная лицензия – Malcolm состоит из нескольких широко используемых инструментов с открытым исходным кодом, что делает его привлекательной альтернативой решениям безопасности, требующим платных лицензий.
• Расширение видимости систем управления – Хотя Malcolm отлично подходит для анализа сетевого трафика общего назначения, его создатели видят особую потребность сообщества в инструментах, обеспечивающих понимание протоколов, используемых в средах промышленных систем управления (ICS). Дальнейшее развитие Malcolm будет направлено на предоставление дополнительных парсеров для распространённых протоколов ICS.