Malcolm

Malcolm 是一个强大的网络流量分析工具套件，旨在实现以下目标：

易于使用 – Malcolm 接受全包捕获（PCAP）文件、Zeek 日志和 Suricata 警报形式的网络流量数据。这些工件可以通过简单的基于浏览器的界面上传，或使用轻量级转发器被动捕获并实时转发给 Malcolm。无论哪种方式，数据都会被自动标准化、丰富并关联以进行分析。
强大的流量分析 – 通过两个直观的界面提供网络通信的可见性：OpenSearch Dashboards（一种灵活的数据可视化插件，提供数十个预置仪表板，可一目了然地查看网络协议）和 Arkime（一个强大的工具，用于查找和识别构成疑似安全事件的网络会话）。
简化的部署 – Malcolm 作为一个软件容器集群运行 – 每个容器为系统提供专用功能的隔离沙箱。这种基于容器的部署模型，结合一些用于设置和运行时管理的简单脚本，使得 Malcolm 能够快速部署到各种平台和用例中；无论是部署在安全运营中心（SOC）的 Linux 服务器上进行长期部署，还是用于个人事件的 Macbook 上的应急响应。
安全通信 – 与 Malcolm 的所有通信，无论是来自用户界面还是远程日志转发器，都采用行业标准的加密协议进行保护。
宽松的许可 – Malcolm 由多个广泛使用的开源工具组成，使其成为需要付费许可的安全解决方案的有吸引力的替代方案。
扩展控制系统可见性 – 虽然 Malcolm 非常适合通用网络流量分析，但其创建者意识到社区特别需要能够洞察工业控制系统（ICS）环境中使用的协议的工具。Malcolm 的持续开发将旨在为常见的 ICS 协议提供额外的解析器。

尽管组成 Malcolm 的所有开源工具都已可用且普遍使用，但 Malcolm 提供了一个互联框架，使其功能大于各部分之和。

简而言之，Malcolm 为网络安全监控提供了一个易于部署的流量分析工具套件。