网络安全 linux 服务器 计算机网络 流影---开源网络流量可视化分析平台（一）

介绍流影

流影： 官网：https://abyssalfish-os.github.io/ 国内首个开源网络流量可视化分析平台 专注于网络行为分析识别和威胁行为追溯挖掘 提供轻量级网络行为可视化分析与安全态势感知综合解决方案 适用于入侵检测、攻防演练、威胁狩猎、网络安全态势感知等应用场景 看见网络通讯、看清网络行为、看懂网络威胁，守护每一位用户数字化安全发展之路

实验简介

本实验需具备Linux操作基础

系统环境

以下为官方推荐的系统版本，本实验使用的为CentOS7.9-2009-x64-Everything-2009.iso

操作系统基础服务权限CentOS7.9-2009-x64-Minimalhttpd、mariadb-serverroot

> 下载链接

http://mirrors.nju.edu.cn/centos/7.9.2009/isos/x86_64/CentOS-7-x86_64-Everything-2207-02.iso

网络环境

服务器IP端口描述采集分析eth1/无混杂模式流量镜像采集-eth0/内网IPTCP/22SSH服务--TCP/10081Server-Agent通讯--TCP/18080WebUI及API通信

软件环境

以下为官方提供的开源版软件包，其中分析引擎与管理引擎分别有两个软件包，需要全部下载

> 探针

https://gitee.com/abyssalfish-os/ly_probe/releases/download/v1.0.0/lyprobe-relese-v1.0.0-x86_64.tar.gz

> 分析引擎

https://gitee.com/abyssalfish-os/ly_analyser/releases/download/v1.0.4.230706/ly_analyser_release.v1.0.4.230706.tar.gz

https://gitee.com/abyssalfish-os/ly_analyser/releases/download/v1.0.0/ly_analyser_dependence.v1.0.0.221226.tar.gz

> 管理引擎

https://gitee.com/abyssalfish-os/ly_server/releases/download/v1.0.230325/ly_server_release.v1.0.230325.tar.gz

https://gitee.com/abyssalfish-os/ly_server/releases/download/v1.0.0/ly_server_dependence.v1.0.0.221230.tar.gz

> 可视化界面

https://gitee.com/abyssalfish-os/ly_vis/releases/download/v1.0.4/开源版.zip

实验流程

虚拟机配置

配置类型选择典型

安装来源选择稍后安装操作系统

客户机操作系统选择Linux并在版本中选择CentOS 7 64位

虚拟机名称和位置根据自身决定

磁盘容量分配大一些

最后点击完成

点击编辑虚拟机设置

根据自身电脑配置修改虚拟机配置并选择镜像文件

因实验需求，需额外添加一张网卡，一块设置为NAT用于本地SSH登录，一块为仅主机模式用于监听流量

最后点击确定，虚拟机的环境准备完成

系统的安装

选择开启此虚拟机

选择 Install CentOS 7

语言根据自身喜好，本次实验选择英文

进入虚拟机安装配置页面

启动虚拟机网卡，需记住第一张网卡的IP地址后续会用到

选择安装磁盘

时区选择Asia、Shanghai

创建root密码

安装完成后重启

流影的部署

使用SSH工具连接并使用root账户登录

创建本地yum源

> 创建名称为centos.repo的yum仓库文件

cd /etc/yum.repos.d/

rm -rf *

vi centos.repo

> 按a进入编辑然后输入以下内容

[centos]

name = centos

baseurl = file:///mnt

enabled = 1

gpgcheck = 0

> 按esc退出编辑

> :wq保存

挂载镜像并完成安装vim与net-tools

> 挂载镜像

mount /dev/cdrom /mnt/

> 清理yum缓存并重建yum仓库

yum clean all

yum makecache

> 安装vim与net-tools

yum -y install vim

yum -y install net-tools

> 验证是否安装成功

vim --version

ifconfig

安装探针ly_probe

> 上传全部软件包

> 解压探针软件包

tar zxf /root/lyprobe-relese-v1.0.0-x86_64.tar.gz

> 进入目录

cd /root/lyprobe-relese-v1.0.0-x86_64

> 将主程序文件置于系统路径

cp lyprobe /usr/local/bin/

> 将依赖库文件置于系统路径

cp -d liblyprobe* /usr/local/lib/

> 将插件相关依赖库文件目录整体置于系统路径

cp -rd plugins/ /bin

cp -rd plugins/ /usr/local/lib/lyprobe

> 安装依赖环境

yum -y install libpcap-devel

> 验证依赖环境是否安装成功

lyprobe --version

> 修改要监听的网卡配置文件

cd /etc/sysconfig/network-scripts/

> 查看本机的网卡配置文件名称

ls

> 修改第二张网卡的配置文件

vim ifcfg-ens33

> 按esc退出编辑

> :wq保存

> 重启网卡

systemctl restart network

> 查看网卡信息

ifconfig

> 第二张网卡出现地址则正确

> 添加监听规则

lyprobe -T "%IPV4_SRC_ADDR %IPV4_DST_ADDR %IN_PKTS %IN_BYTES %FITST_SWITCHED %LAST_SWITCHED %L4_SRC_PORT %L4_DST_PORT %TCP_FLAGS %PROTOCOL %SRC_TOS %DNS_REQ_DOMAIN %DNS_REQ_TYPE %HTTP_URL %HTTP_REQ_METHOD %HTTP_HOST %HTTP_MIME %HTTP_RET_CODE %ICMP_DATA %ICMP_SEQ_NUM %ICMP_PAYLOAD_LEN %SRV_TYPE %SRV_NAME %SRV_VERS %THREAT_TYPE %THREAT_NAME %THREAT_VERS %SRV_TIME %THREAT_TIME" -n 127.0.0.1:9995 -e 0 -w 32768 -k 1 -K /data/cap/3 -G -i ens33

> 检查进程

ps aux | grep probe

安装分析引擎ly_analyser

> 解压分析引擎软件包

tar zxf /root/ly_analyser_release.v1.0.4.230706.tar.gz

tar zxf /root/ly_analyser_dependence.v1.0.0.221226.tar.gz

> 进入目录

cd /root/ly_analyser_dependence.v1.0.0.221226

mv * /root/ly_analyser_release.v1.0.4.230706

> 安装依赖环境

yum -y install gcc gcc-c++ cmake

yum -y install bison flex json-c-devel

yum -y install ntp

yum -y install boost-devel

yum -y install libcurl-devel

yum -y install mariadb-devel

yum -y install httpd stunnel rsync sysstat

> 安装Agent

cd /root/ly_analyser_release.v1.0.4.230706

/bin/sh ./agent_deploy_new.sh

安装管理引擎ly_server

> 解压管理引擎软件包

tar zxf /root/ly_server_release.v1.0.230325.tar.gz

tar zxf /root/ly_server_dependence.v1.0.0.221230.tar.gz

> 进入目录

cd /root/ly_server_dependence.v1.0.0.221230

mv * /root/ly_server_release.v1.0.230325

> 安装依赖环境

yum -y install mariadb-server

yum -y install MySQL-python

yum -y install python-setuptools

> 安装Agent

cd /root/ly_server_release.v1.0.230325

/bin/bash ./server_deploy_new.sh

> 回车

> 输入Y

> 输入密码

> 输入Y

> 输入密码

> 检查服务

ll /Server/

ll /Server/bin

安装可视化ly_vis

> 安装依赖环境

yum -y install unzip

> 解压可视化软件包

unzip 开源版.zip

> 移动配置文件

mv /root/build/ /Server/www/ui

> 检查配置文件

ll /Server/www

ll /Server/www/ui

测试流影

> 浏览器输入

http://本机IP:18080/ui/

> 管理员账号：admin

> 密码LoginLY@2016

总结

感谢流影将此项目开源，能有机会接触到这么全面的流量分析平台。现如今的网络时代，越早的发现入侵扫描活动，越能及时采取措施，阻断入侵者进一步实施后续的攻击和破坏，避免损失。

下期实验将通过在网络中发起扫描来进一步展示平台的可视化功能。 流影—开源网络流量可视化分析平台（二）

好文推荐

 您阅读本篇文章共花了：