Apache Metron 技术文档

1. 安装指南

要获取 Apache Metron，请访问 Apache Metron 官方文档 下载最新版本的 Metron。此代码库是一个子模块的集合，定期更新以指向最新版本。以下是获取 Metron 代码的几种方式：

1. 使用 git clone --recursive https://github.com/apache/metron 命令克隆仓库。
2. 下载 ZIP 文件。
3. 单独克隆或下载每个仓库（此方法可能有最新的代码）。

2. 项目使用说明

Apache Metron 是一个集成多种开源大数据技术的集中式安全监控和分析工具。Metron 提供了日志聚合、完整数据包捕获索引、存储、高级行为分析以及数据丰富等功能，同时将最新的威胁情报信息应用于单一平台内的安全遥测。

Metron 主要分为以下四个区域：

1. 捕获、存储和规范化任何类型的安全遥测数据的高速率机制。由于安全遥测数据不断生成，因此需要一种方法来高速摄取数据并将其推送到各种处理单元进行高级计算和分析。
2. 实时处理和应用丰富信息，例如威胁情报、地理位置和 DNS 信息，这些信息被实时应用于传入的遥测数据，提供了上下文和情境感知，以及进行侦查所必需的 "谁" 和 "哪里" 的信息。
3. 基于信息使用方式的高效信息存储：
   • 日志和遥测数据的存储便于高效挖掘和分析，以获得简洁的安全可视性。
   • 提取和重建完整数据包的能力可以帮助分析人员回答诸如攻击者的真实身份、泄露的数据以及数据发送的位置等问题。
   • 长期存储不仅增加了时间上的可视性，还允许使用高级分析技术（如机器学习）来创建信息模型。然后可以将传入数据与这些存储的模型进行评分，以实现高级异常检测。
4. 提供一个界面，让安全调查员能够集中查看系统和警告传递的数据。Metron 的界面展示了警告摘要，以及与特定警告相关的威胁情报和丰富数据，所有这些都显示在单个页面上。此外，高级搜索功能和完整数据包提取工具也呈现给分析人员，无需切换到其他工具即可进行侦查。

3. 项目 API 使用文档

Metron 的架构是基于 Kappa 架构，使用 Apache Storm 作为处理组件，Apache Kafka 作为统一数据总线。以下是一些与架构相关的子部分的链接，供进一步了解：

• Parsers：从 Kafka 解析数据到 Metron 数据模型，并将其传递到下游的丰富阶段。
• Enrichment：解析后丰富数据，并通过自定义规则语言提供将消息标记为警告和分配风险分级的能力。
• Indexing：将丰富后的数据索引到 HDFS、Elasticsearch 或 Solr。

以下是一些在架构各个部分中都有用的小工具：

• Stellar：一种自定义数据转换语言，在 Metron 中从简单的字段转换到表达分级规则都有使用。
• Model as a Service：一个 Yarn 应用程序，可以在集群上部署机器学习和统计模型以及相关的 Stellar 函数，以便能够以可扩展的方式调用它们。
• Data management：一组数据管理实用程序，旨在将数据以允许通过 Metron 进行丰富的格式存储到 HBase 中。它包含与通过 TAXII 暴露的威胁情报源的集成，以及简单的平面文件结构。
• Profiler：一种特征提取机制，可以生成描述实体行为（实体可能是服务器、用户、子网或应用程序）的配置文件。一旦生成描述正常行为的配置文件，就可以构建识别异常行为的模型。

4. 项目安装方式

以下是在不同环境中构建 Metron 的命令：

• 构建完整项目并运行测试：

  $ mvn clean install
  

• 构建不包含测试的项目：

  $ mvn clean install -DskipTests
  

• 使用 HDP 配置文件构建：

  $ mvn clean install -PHDP-2.5.0.0
  

如果不想将构建的工件部署到本地 .m2 仓库，可以将命令中的 install 替换为 package。

对于在 Docker 容器中的构建，请参考 ansible-docker。