Malcolm
Платформа анализа сетевого трафика от CISA/INL на Docker: принимает PCAP и логи Zeek/Suricata, визуализирует через OpenSearch Dashboards и Arkime; полноценная альтернатива Security Onion для SOC.
# Требования: Docker + Docker Compose, минимум 16 ГБ RAM git clone https://github.com/cisagov/Malcolm cd Malcolm # Интерактивная установка и настройка python3 scripts/install.py # Запуск docker compose up -d # Malcolm откроется на https://localhost/ # Логин/пароль задаётся при установке # Загрузка pcap для анализа curl -u admin:password -F 'filesize=@capture.pcap' https://localhost/upload
Malcolm
Malcolm — это мощный набор инструментов для анализа сетевого трафика, разработанный с учетом следующих целей:
- Простота использования – Malcolm принимает данные сетевого трафика в формате файлов полного захвата пакетов (PCAP), журналов Zeek и оповещений Suricata. Эти данные можно загружать через простой веб-интерфейс или пассивно захватывать в реальном времени и пересылать в Malcolm с помощью легких программ-форвардеров. В любом случае данные автоматически нормализируются, обогащаются и коррелируются для анализа.
- Мощный анализ трафика – Визуализация сетевых коммуникаций обеспечивается через два интуитивно понятных интерфейса: OpenSearch Dashboards — гибкий плагин для визуализации данных с десятками готовых панелей, обеспечивающих обзор сетевых протоколов; и Arkime — мощный инструмент для поиска и идентификации сетевых сессий, составляющих подозрительные инциденты безопасности.
- Оптимизированное развертывание – Malcolm работает как кластер программных контейнеров — изолированных песочниц, каждая из которых выполняет выделенную функцию в системе. Эта модель контейнерного развертывания, в сочетании с несколькими простыми скриптами для настройки и управления в рабочей среде, делает Malcolm пригодным для быстрого развертывания на различных платформах и в различных сценариях — будь то долгосрочное развертывание на Linux-сервере в центре операций безопасности (SOC) или реагирование на инциденты на Macbook для индивидуальных проектов.
- Безопасная коммуникация – Все коммуникации с Malcolm, как через пользовательский интерфейс, так и от удаленных программ-форвардеров, защищены с помощью стандартизированных в отрасли протоколов шифрования.
- Лицензия с мягкими условиями – Malcolm состоит из нескольких широко используемых инструментов с открытым исходным кодом, что делает его привлекательной альтернативой решениям безопасности, требующим платных лицензий.
- Расширение видимости систем управления – Хотя Malcolm отлично подходит для общего анализа сетевого трафика, его создатели видят особую потребность сообществе в инструментах, предоставляющих глубокое понимание протоколов, используемых в средах промышленных систем управления (ICS). Дальнейшая разработка Malcolm будет направлена на предоставление дополнительных парсеров для распространенных протоколов ICS.
Хотя все инструменты с открытым исходным кодом, входящие в состав Malcolm, уже доступны и широко используются, Malcolm предоставляет рамки взаимосвязанности, которые делают его больше, чем просто суммой его частей.
Вкратце, Malcolm предоставляет простой в развертывании набор инструментов анализа трафика для мониторинга сетевой безопасности.
Документация
Смотрите документацию Malcolm.
Поделитесь своей обратной связью
Вы можете помочь направить разработку Malcolm, поделившись своими идеями и отзывами. Пожалуйста, уделите несколько минут для заполнения этого опроса ↪ (хостинг на Google Forms), чтобы мы могли понять участников сообщества Malcolm и их сценарии использования этого инструмента.
Авторские права и лицензия
Malcolm является объектом авторского права 2026 Battelle Energy Alliance, LLC.
Malcolm лицензирован в соответствии с Лицензией Apache, версии 2.0. Условия его распространения смотрите в файле LICENSE.txt.