如何从零搭建 Malcolm 网络流量分析平台运维/安全工程师首次部署实操【免费下载链接】MalcolmMalcolm is a powerful, easily deployable network traffic analysis tool suite for full packet capture artifacts (PCAP files), Zeek logs and Suricata alerts.项目地址: https://gitcode.com/gh_mirrors/ma/MalcolmMalcolm 是一套用 Docker 部署的网络流量分析套件把 PCAP 文件、Zeek 日志和 Suricata 警报变成可查询的会话数据和仪表盘。这篇指南假设你只会基本 Linux 命令读完能从裸机跑到浏览器登录、看到会话分析页只覆盖你真正会卡住的命令和参数。 环境自检开始之前先对号入座。数值取自官方基线低于最低值时部署会中途卡住或慢得离谱项目最低值推荐值CPU8 核16 核内存24 GB32 GB 以上磁盘100 GB 空闲SSD容量按保留周期定系统LinuxUbuntu 24.04 LTSPython3.93.9 及以上容器运行时Docker Compose较新版本这一步 90% 的人会在启动阶段卡住先确认docker compose version有输出、磁盘至少腾出 100 GB不然第三步会卡住。硬件基线详情见 system-requirements.md 最短启动路径git clone https://gitcode.com/gh_mirrors/ma/Malcolm cd Malcolm sudo ./scripts/install.py ./scripts/auth_setup ./scripts/startinstall.py是交互式配置向导认证方式、网络接口、保留策略逐项走默认即可末尾用 y 确认。它顺带拉取全部容器镜像约 20 个预期看到每个服务的 Pulling ... done。auth_setup设定 basic 认证用户默认 analyst并生成自签名证书。跳过它启动后网页会直接 401。start拉起全部容器。约 5 分钟后跑./scripts/status每个容器都应显示 up哪一行 pending就去docker compose logs 服务名看那个服务。整个部署就是这三条命令不需要手改任何配置文件。 数据怎么走输入PCAP 文件手工上传或 Hedgehog 传感器转发、实时抓包流量。处理Zeek 解析出协议日志Suricata 产出告警filebeat、logstash 统一采集清洗。存储标准化后写入 OpenSearch 索引PCAP 落盘供 Arkime 分析。展示OpenSearch Dashboards 仪表盘 Arkime 会话界面。⚙️ 调优旋钮实际运维中只需要碰下面 5 个其余环境变量默认值就能用触发场景参数名建议值为什么离线 PCAP 分析积压ARKIME_AUTO_ANALYZE_PCAP_THREADS物理核数默认 1串行分析Logstash 堆溢出/频繁 GCLS_JAVA_OPTS-Xmx6g约内存 1/4默认 3g吞吐一上来就不够磁盘逼近写满MANAGE_PCAP_FILES / ARKIME_FREESPACEGtrue / 10%越过阈值自动删旧 PCAP避免写入失败索引占盘过大INDEX_MANAGEMENT_RETENTION_TIME测试 30d生产 90d控制 OpenSearch 索引保留时长Zeek 日志文件堆积LOG_CLEANUP_MINUTES360每 6 小时清理已处理日志全部配置参数清单见 malcolm-config.md 跑通之后看什么浏览器打开https://服务器IP443 端口用auth_setup里填的凭据登录。落地页列出各组件健康状态全部 up 即正常。进 Arkime 打开 Sessions 页。新装实例这张表是空的——这不叫故障叫还没喂数据。喂测试数据把任意一个 pcap 丢进pcap/upload/目录等几分钟Sessions 出现行点任一行右侧能看到 Zeek 日志字段。看到这一步链路全通。 踩坑与自救现象启动后网页打不开→ 最可能原因Logstash 未加载完需要约 5 分钟→ 等 5 分钟后跑./scripts/status确认容器全部 up 再重试。现象登录 401 或认证失败→ 最可能原因漏跑auth_setup或凭据填错 → 重新执行./scripts/auth_setup重填 basic 认证用户名和密码。现象某个容器反复重启→ 最可能原因磁盘空间耗尽 → 设MANAGE_PCAP_FILEStrue、调大ARKIME_FREESPACEG扩容后用./scripts/restart拉起。认证切换到 keycloak/LDAP 前先看 authsetup.md收尾./scripts/status全绿、Sessions 有数据部署就算结束。建议生产上线前先裸跑 48 小时盯磁盘空闲和 Logstash 堆内存两个水位再回头调保留周期和分析线程数。【免费下载链接】MalcolmMalcolm is a powerful, easily deployable network traffic analysis tool suite for full packet capture artifacts (PCAP files), Zeek logs and Suricata alerts.项目地址: https://gitcode.com/gh_mirrors/ma/Malcolm创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 如何从零搭建 Malcolm 网络流量分析平台：运维/安全工程师首次部署实操
如何从零搭建 Malcolm 网络流量分析平台运维/安全工程师首次部署实操【免费下载链接】MalcolmMalcolm is a powerful, easily deployable network traffic analysis tool suite for full packet capture artifacts (PCAP files), Zeek logs and Suricata alerts.项目地址: https://gitcode.com/gh_mirrors/ma/MalcolmMalcolm 是一套用 Docker 部署的网络流量分析套件把 PCAP 文件、Zeek 日志和 Suricata 警报变成可查询的会话数据和仪表盘。这篇指南假设你只会基本 Linux 命令读完能从裸机跑到浏览器登录、看到会话分析页只覆盖你真正会卡住的命令和参数。 环境自检开始之前先对号入座。数值取自官方基线低于最低值时部署会中途卡住或慢得离谱项目最低值推荐值CPU8 核16 核内存24 GB32 GB 以上磁盘100 GB 空闲SSD容量按保留周期定系统LinuxUbuntu 24.04 LTSPython3.93.9 及以上容器运行时Docker Compose较新版本这一步 90% 的人会在启动阶段卡住先确认docker compose version有输出、磁盘至少腾出 100 GB不然第三步会卡住。硬件基线详情见 system-requirements.md 最短启动路径git clone https://gitcode.com/gh_mirrors/ma/Malcolm cd Malcolm sudo ./scripts/install.py ./scripts/auth_setup ./scripts/startinstall.py是交互式配置向导认证方式、网络接口、保留策略逐项走默认即可末尾用 y 确认。它顺带拉取全部容器镜像约 20 个预期看到每个服务的 Pulling ... done。auth_setup设定 basic 认证用户默认 analyst并生成自签名证书。跳过它启动后网页会直接 401。start拉起全部容器。约 5 分钟后跑./scripts/status每个容器都应显示 up哪一行 pending就去docker compose logs 服务名看那个服务。整个部署就是这三条命令不需要手改任何配置文件。 数据怎么走输入PCAP 文件手工上传或 Hedgehog 传感器转发、实时抓包流量。处理Zeek 解析出协议日志Suricata 产出告警filebeat、logstash 统一采集清洗。存储标准化后写入 OpenSearch 索引PCAP 落盘供 Arkime 分析。展示OpenSearch Dashboards 仪表盘 Arkime 会话界面。⚙️ 调优旋钮实际运维中只需要碰下面 5 个其余环境变量默认值就能用触发场景参数名建议值为什么离线 PCAP 分析积压ARKIME_AUTO_ANALYZE_PCAP_THREADS物理核数默认 1串行分析Logstash 堆溢出/频繁 GCLS_JAVA_OPTS-Xmx6g约内存 1/4默认 3g吞吐一上来就不够磁盘逼近写满MANAGE_PCAP_FILES / ARKIME_FREESPACEGtrue / 10%越过阈值自动删旧 PCAP避免写入失败索引占盘过大INDEX_MANAGEMENT_RETENTION_TIME测试 30d生产 90d控制 OpenSearch 索引保留时长Zeek 日志文件堆积LOG_CLEANUP_MINUTES360每 6 小时清理已处理日志全部配置参数清单见 malcolm-config.md 跑通之后看什么浏览器打开https://服务器IP443 端口用auth_setup里填的凭据登录。落地页列出各组件健康状态全部 up 即正常。进 Arkime 打开 Sessions 页。新装实例这张表是空的——这不叫故障叫还没喂数据。喂测试数据把任意一个 pcap 丢进pcap/upload/目录等几分钟Sessions 出现行点任一行右侧能看到 Zeek 日志字段。看到这一步链路全通。 踩坑与自救现象启动后网页打不开→ 最可能原因Logstash 未加载完需要约 5 分钟→ 等 5 分钟后跑./scripts/status确认容器全部 up 再重试。现象登录 401 或认证失败→ 最可能原因漏跑auth_setup或凭据填错 → 重新执行./scripts/auth_setup重填 basic 认证用户名和密码。现象某个容器反复重启→ 最可能原因磁盘空间耗尽 → 设MANAGE_PCAP_FILEStrue、调大ARKIME_FREESPACEG扩容后用./scripts/restart拉起。认证切换到 keycloak/LDAP 前先看 authsetup.md收尾./scripts/status全绿、Sessions 有数据部署就算结束。建议生产上线前先裸跑 48 小时盯磁盘空闲和 Logstash 堆内存两个水位再回头调保留周期和分析线程数。【免费下载链接】MalcolmMalcolm is a powerful, easily deployable network traffic analysis tool suite for full packet capture artifacts (PCAP files), Zeek logs and Suricata alerts.项目地址: https://gitcode.com/gh_mirrors/ma/Malcolm创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考