Пакет для захвата и анализа данных сетевых потоков и внутрипотоковых данных, предназначенный для сетевых исследований, криминалистики и мониторинга безопасности.
_
() ___ _ _
| |/ _ | | | |
| | () | || |
/ |___/ _, |
|/ |/
Пакет для захвата и анализа сетевых данных
потока и внутрипотоковых данных для сетевых исследований,
криминалистики и мониторинга безопасности.
Дополнение: За нашими последними инструментами и данными по сетевой дактилоскопии обращайтесь к Mercury.
Joy — это программный пакет с лицензией BSD, основанный на libpcap, предназначенный для извлечения характеристик данных из живого сетевого трафика или файлов захвата пакетов (pcap), использующий потоковую модель, подобную IPFIX или Netflow, и представляющий эти характеристики в формате JSON. Он также содержит инструменты анализа, которые можно применять к этим файлам данных. Joy может использоваться для исследования данных в масштабе, особенно данных, связанных с безопасностью и угрозами.
JSON используется для того, чтобы сделать вывод легко потребляемым инструментами анализа данных. Файлы вывода JSON немного многословны, но они довольно малы и хорошо поддаются сжатию.
Joy можно настроить для получения внутрипотоковых данных, то есть данных и информации о событиях, происходящих внутри сетевого потока, включая:
последовательность размеров и времен прибытия IP-пакетов, до некоторого настраиваемого количества пакетов.
эмпирическое распределение вероятности байтов в данных части потока и энтропию, полученную из этого значения,
последовательность размеров и времен прибытия TLS-записей,
другие незашифрованные TLS-данные, такие как список предложенных наборов шифров, выбранный набор шифров, длина поля clientKeyExchange и строки сертификата сервера,
DNS-имена, адреса и TTL,
элементы заголовков HTTP и первые восемь байтов тела HTTP, и
имя процесса, связанного с потоком, для потоков, которые начинаются или заканчиваются на хосте, где выполняется pcap.
Joy предназначен для использования в исследованиях безопасности, криминалистике и для мониторинга (небольших) сетей с целью обнаружения уязвимостей, угроз и другого несанкционированного или нежелательного поведения. Исследователи, администраторы, пентестеры и команды безопасности могут эффективно использовать эту информацию для защиты мониторируемых сетей, а в случае уязвимостей — на благо более широкого сообщества благодаря улучшенной защитной позиции. Как и любой инструмент мониторинга сети, Joy может быть потенциально использован неправильно; не используйте его в сети, владельцем или администратором которой вы не являетесь.
Поток (flow) в позитивной психологии — это состояние, в котором человек, выполняющий деятельность, полностью погружен в чувство энергичной сосредоточенности, глубокого вовлечения и радости (joy). Это второе значение вдохновило выбор имени для данного программного пакета.
Joy — это альфа/бета программное обеспечение; мы надеемся, что вы будете его использовать и извлечете из него пользу, но понимайте, что оно не подходит для производственного использования.
Мы недавно выпустили самую большую и информативную открытую базу данных TLS-отпечатков. Среди прочих особенностей, наш подход опирается на предыдущие работы, будучи полностью автоматизированным и аннотируя TLS-отпечатки значительно большим объемом информации. Мы создали набор инструментов на Python для использования этой базы данных, а также для генерации новых баз данных с помощью Joy. Для получения дополнительной информации обратитесь к документации по TLS-дактилоскопии.
Joy помог поддержать исследования, которые проложили путь для анализа зашифрованного трафика Cisco (Encrypted Traffic Analytics, ETA), но он не является напрямую интегрированным в какие-либо продукты или услуги Cisco, реализующие ETA. Классификаторы в Joy были обучены на небольшом наборе данных несколько лет назад и не представляют методы классификации или производительность ETA. Цель этой функции — позволить сетевым исследователям быстро обучать и развертывать собственные классификаторы на подмножестве характеристик данных, которые генерирует Joy. Для получения дополнительной информации об обучении собственного классификатора смотрите saltUI/README или обращайтесь к [email protected].
Этот пакет написан Дэвидом Макгрю, Блейком Андерсоном, Филипом Перриконе и Биллом Хадсоном {mcgrew,blaander,phperric,bhudson}@cisco.com из Группы передовых исследований безопасности (ASRG) и Организации безопасности и доверия (STO) компании Cisco Systems.
Мы рады объявить о выпуске версии 4.0.1 пакета, которая включает следующие возможности:
Мы рады объявить о выпуске версии 4.0.0 пакета, которая включает следующие возможности:
Мы рады объявить о выпуске версии 3.0.0 пакета, которая включает следующие возможности:
Мы рады объявить о выпуске версии 2.0 пакета, которая включает следующие возможности:
Joy был успешно запущен и протестирован в Linux (Debian, Ubuntu, CentOS и Raspbian), Mac OS X и Windows. Система собрана с помощью gcc и GNU make, но должна работать и с другими средами разработки.
Перейдите в Wiki для руководства по сборке: Инструкции по сборке
См. Лицензию Joy
См. Copying для лицензий внешних библиотек