Malcolm网络流量分析套件v25.03.0版本深度解析

Malcolm是一款功能强大的网络流量分析工具套件，专为网络安全监控而设计。它采用容器化架构，能够轻松部署在各种环境中，包括Docker、Podman和Kubernetes等平台。最新发布的v25.03.0版本带来了多项重要更新，特别是新增了Keycloak身份认证支持，进一步提升了系统的安全性和管理能力。

关键更新内容

1. Keycloak身份认证集成

本次更新的核心亮点是引入了Keycloak身份和访问管理(IAM)工具的支持。Keycloak是一个开源的身份认证和授权解决方案，提供单点登录(SSO)功能。Malcolm现在支持三种认证方式：

• 本地账户管理：传统的用户名密码方式
• LDAP认证：与企业目录服务集成
• Keycloak认证：提供更完善的IAM功能

用户可以选择连接现有的Keycloak服务器，或者使用Malcolm内置的嵌入式Keycloak实例。这一改进为未来实现细粒度访问控制奠定了基础。

技术实现上，Malcolm使用lua-resty-openidc库来处理OpenID连接功能。虽然主要针对Keycloak开发，但理论上也支持其他兼容的OpenID提供商。

2. 架构优化

为支持Keycloak功能，项目团队对系统架构进行了重要调整：

• PostgreSQL容器从NetBox服务中解耦，现在作为独立服务运行
• 内部NGINX服务器替换为OpenResty，这是一个扩展了Lua支持的NGINX版本
• 新增了认证设置工具的功能，简化了配置流程

3. 数据保护改进

对./wipe命令的行为进行了调整。此前该命令会清除PostgreSQL数据库中NetBox库存的内容，现在由于PostgreSQL还存储嵌入式Keycloak实例数据，这一行为已被修改，避免意外删除重要数据。

组件版本升级

v25.03.0版本包含了多个核心组件的更新：

• OpenSearch和OpenSearch Dashboards升级至v2.19.1
• Jinja2升级至v3.1.6，修复了CVE-2025-27516问题
• Fluent Bit升级至v3.2.8
• Capa升级至v9.1.0

配置变更

新版本引入了多项配置变更，主要围绕Keycloak支持：

• 重命名了NGINX_BASIC_AUTH为NGINX_AUTH_MODE
• 新增keycloak.env配置文件
• 重命名nginx-postgres为postgres.env并全面更新其中的变量
• 在nginx.env中添加了多个新环境变量
• 移除了NETBOX_POSTGRES_DISABLED

升级注意事项

用户在升级到v25.03.0版本时需要注意：

1. 升级前应执行NetBox数据库备份
2. 如果从v25.02.0之前的版本升级，需手动更新redis相关环境变量
3. 升级后首次启动前应运行状态检查脚本迁移环境变量

部署选项

Malcolm提供多种部署方式：

• 容器化部署：支持Docker、Podman和Kubernetes
• ISO安装镜像：提供专门的安装镜像，简化部署过程
• Raspberry Pi支持：提供针对树莓派的定制镜像

v25.03.0版本的发布标志着Malcolm在身份认证和管理能力上的重大进步，为企业和组织提供了更强大、更安全的网络流量分析解决方案。Keycloak的集成不仅提升了安全性，也为未来的功能扩展奠定了基础，使Malcolm在网络安全监控领域的竞争力进一步增强。