Malcolm

Malcolm 是一套强大的网络流量分析工具套件，其设计目标如下：

• 易于使用 – Malcolm 接受全流量数据包捕获（PCAP）文件、Zeek 日志和 Suricata 告警等形式的数据。这些内容可通过简单的浏览器界面上传，或使用轻量级转发器进行被动实时捕获并转发至 Malcolm。无论采用哪种方式，数据都会被自动归一化、丰富化并关联以进行分析。
• 强大的流量分析能力 – 通过两个直观界面提供网络通信可见性：OpenSearch Dashboards（一个灵活的数据可视化插件，内置数十个预建仪表板，可概览网络协议）和 Arkime（一个强大的工具，用于查找和识别构成可疑安全事件的网络会话）。
• 简化的部署流程 – Malcolm 以软件容器集群的形式运行——每个容器都是独立的沙箱，承担系统中的一个特定功能。这种基于容器的部署模型，结合少量用于设置和运行时管理的简单脚本，使 Malcolm 能够快速部署到多种平台和使用场景中——无论是长期部署于安全运营中心（SOC）的 Linux 服务器，还是为单个事件响应在 MacBook 上临时运行。
• 安全的通信机制 – 与 Malcolm 的所有通信（无论是来自用户界面还是远程日志转发器）均采用行业标准的加密协议进行保护。
• 宽松的许可证 – Malcolm 由多个广泛使用的开源工具组成，是付费许可安全解决方案的吸引力替代品。
• 不断扩展的工业控制系统可见性 – 虽然 Malcolm 擅长通用网络流量分析，但其创建者认识到社区在工业控制系统（ICS）环境协议洞察方面特别需要此类工具。Malcolm 的持续开发将致力于为常见 ICS 协议提供更多解析器。

尽管构成 Malcolm 的所有开源工具都已存在并普遍使用，Malcolm 提供了一套互联框架，使其整体功能超越各部件的简单总和。

简而言之，Malcolm 为网络安全监控提供了一套易于部署的流量分析工具套件。

文档

详见 Malcolm 文档。

分享您的反馈

您可以通过分享想法和反馈来帮助引导 Malcolm 的开发。请花几分钟完成 这份调查问卷 ↪（托管于 Google Forms），以便我们了解 Malcolm 社区的成员及其用例。

版权与许可

Malcolm 版权所有 © 2026 Battelle Energy Alliance, LLC。

Malcolm 基于 Apache 许可证 2.0 版发布。许可条款详见 LICENSE.txt。

作者联系方式：

[email protected]