arkime下載 - arkime源代碼下載

arkime

C#源碼

v5.5.1

下載

Arkime

Arkime是一個大規模的開源網絡分析和數據包捕獲系統。

Arkime將您當前的安全基礎架構以標準PCAP格式存儲和索引網絡流量，從而提供快速，索引的訪問。為PCAP瀏覽，搜索和導出提供了直觀而簡單的Web界面。 Arkime公開了API，該API允許直接下載和消耗PCAP數據和JSON格式化會話數據。在分析工作流程期間，Arkime存儲和以標準PCAP格式導出所有數據包，使您還可以使用自己喜歡的PCAP攝入工具（例如Wireshark）。

Arkime是在許多系統中部署的，並且可以擴展以處理數十千兆/秒的流量。 PCAP保留基於可用的傳感器磁盤空間。元數據保留基於Elasticsearch群集量表。兩者都可以隨時增加，並且可以完全控制。

在arkime.com上了解更多信息

背景

Arkime以前被稱為Moloch，是為了替換2012年AOL的商業完整數據包系統的創建。通過完全控制硬件和成本，我們發現我們可以在所有網絡中部署完整的數據包捕獲，其成本與使用商業工具的一個網絡相同，並具有更大的保留率。

Arkime系統由3個主要組成部分組成：

捕獲- 一個螺紋C應用程序，可監視網絡流量，將PCAP格式化文件寫入本地磁盤，解析捕獲的數據包，然後將元數據（SPI數據）發送到OpenSearch/Elasticsearch。
查看器- 每次捕獲計算機運行的node.js應用程序。它處理Web接口並將數據包傳輸到瀏覽器。
OpenSearch/Elasticsearch-搜索數據庫技術為ARKIME提供動力。

我們還提供了幾種可選的應用程序：

cont3xt-一種應用程序，提供了一種結構化方法來收集上下文智能以支持技術調查。
Esproxy-一個代理，可在捕獲和OpenSearch/Elasticsearch之間提供額外的安全性。
議會- 一種監視的應用程序，是多個Arkime群集的前門。
WiseService-將威脅情報集成到會話元數據中的應用程序。

Arkime提供了一個用於探索網絡數據的用戶友好的Web界面。會議頁面提供了全面的概述，列出了可以擴展的單個會話以查看元數據和數據包詳細信息。

SPI查看頁面提供了數據的詳細分解，顯示了Arkime識別的每個字段的所有唯一值

安裝

大多數用戶應使用我們的下載頁面上可用的預製二進製文件，並按照簡單的安裝說明進行操作。

對於高級用戶，您可以自己構建Arkime：

確保node在您的路徑中，當前主要支持節點版本20.x
git clone https://github.com/arkime/arkime github上的最新版本
./easybutton-build.sh --install - 下載所有先決條件，構建和安裝arkime
make config - 執行初始arkime配置
有關如何參與的信息，請參考貢獻。

配置

大多數係統配置位於/opt/arkime/etc/config.ini文件中。這些變量記錄在我們的設置頁面上。

用法

ARKIME運行後，將瀏覽器指向http：// localhost：8005以訪問Web界面。單擊貓頭鷹進入Arkime幫助頁面。

安全

通過將HTTP與Digest密碼或使用提供Web服務器代理的身份驗證來保護Arkime。所有PCAP都存儲在傳感器上，僅使用Arkime接口或API訪問。 Arkime並不是要替換ID，而是與它們一起工作以存儲和索引所有網絡流量，以標準PCAP格式，提供快速訪問。

可以將Arkime配置為使用OpenSearch/Elasticsearch用戶驗證或API鍵。
Arkime機器應鎖定，但是他們需要互相交談（端口8005），與Elasticsearch Machines（端口9200-920X）進行交談，並且需要打開Web接口（端口8005）。
Arkime viewer應配置為使用TLS。
- 最容易使用帶有多個DNS或通配符的單個證書。
- 確保使用適當的文件權限保護文件系統上的證書。
- 在/opt/arkime/etc/config.ini.ini中編輯certfile和keyfile設置以啟用。
對於大型部署，可以在不捕獲任何數據的中央機器上設置Arkime viewer ，而是機器網關所有UI請求。
- 使用反向代理（Caddy，Apache，...）可以處理身份驗證並將用戶名傳遞到Arkime，這就是我們部署它的方式。
存儲在Arkime配置文件中的共享密碼用於加密密碼哈希和ARKIME INTER-ARKIME通信。
- 確保使用適當的文件權限保護文件系統上的配置文件。
- 使用加密的密碼哈希，因此，如果沒有固定，則無法將新密碼哈希直接插入opensearch/elasticsearch。