流影 Flow Shadow 轻量级网络安全感知与网络行为可视化综合分析平台

官网
https://abyssalfish-os.github.io/
项目安装，我这里使用一键包，系统要求Centos7.9
https://abyssalfish-os.github.io/downloads/
当前版本为
ly-install-package-v1.1.0

解压

tar xvzf ly-install-package-1.1.0.tar.gz
ll
-rw-r--r--  1 root root  242239180 Dec  4 15:19 ly-install-package-1.1.0.tar.gz
drwxr-xr-x  2 root root       4096 Nov 29 15:24 ly-install-package-v1.1.0

cd ly-install-package-v1.1.0/

ls
agent_deploy_release.sh               db.server.v1.1.231123.tar.gz                  protobuf-3.8.0-1.el7.x86_64.tar.gz
Agent.v1.1.0.231124.tar.gz            INSTALL.md                                    server_deploy_release.sh
all_env.sh                            localyumsource.tar.gz                         Server.v1.1.0.231124.tar.gz
cgicc-lib-3.2.16-1.el7.x86_64.tar.gz  lyprobe-release-v1.0.1.tar.gz                 tensorflow-2.0.4-1.el7.x86_64.tar.gz
cppdb-lib-0.3.1-1.el7.x86_64.tar.gz   pf_ring-lib-7.4.0-957.el7.x86_64.E5v2.tar.gz  webui.v1.1.0.tar.gz

tar zxf localyumsource.tar.gz -C /root

安装依赖

./all_env.sh

安装探针和分析引擎

/bin/bash ./agent_deploy_release.sh

安装管理和交互页面，过程中会安装mariadb数据库，并提示你配置数据库密码

/bin/bash ./server_deploy_release.sh

修改默认监听网卡
`安装完毕后，安装部署程序已自动将探针与接收程序的启动命令写入 /etc/rc.local 文件中。
lyprobe为探针，通过-i参数指定所监听的网卡，默认写ens224，根据网卡信息自主更改此参数。`

查看当前网卡

ip add
2: ens192: <BROADCAST,MULTICAST,UP,LOWER_UP> mtu 1500 qdisc mq state UP group default qlen 1000

修改启动脚本中的网卡

 /etc/rc.local

modprobe  pf_ring
lyprobe -T "%IPV4_SRC_ADDR %IPV4_DST_ADDR %IN_PKTS %IN_BYTES %FIRST_SWITCHED %LAST_SWITCHED %L4_SRC_PORT %L4_DST_PORT %TCP_FLAGS %PROTOCOL %SRC_TOS %DNS_REQ_DOMAIN %DNS_REQ_TYPE %HTTP_URL %HTTP_REQ_METHOD %HTTP_HOST %HTTP_MIME %HTTP_RET_CODE %SRV_TYPE %SRV_NAME %SRV_VERS %DEV_TYPE %DEV_NAME %DEV_VEND %DEV_VERS %OS_TYPE %OS_NAME %OS_VERS %MID_TYPE %MID_NAME %MID_VERS %THREAT_TYPE %THREAT_NAME %THREAT_VERS %ICMP_DATA %ICMP_SEQ_NUM %ICMP_PAYLOAD_LEN %SRV_TIME %DEV_TIME %OS_TIME %MID_TIME %THREAT_TIME" -i ens192 -n 127.0.0.1:9995 -G -e 0 -w 32768 -k 1 -K /data/cap/3
/Agent/bin/nfcapd -w -D -l /data/flow/3 -p 9995

如果使用vSphere平台，虚拟交换机和虚拟机网卡开启混杂模式

空间清理

/Agent/bin/cleanup.sh

清理异常可将脚本中str_home目录改为/

运行

/bin/bash /etc/rc.local

登录控制台
访问地址：http://ip:18080/ui
管理员账号：admin，密码LoginLY@2016

安装完成，具体使用参考官网文档