Arkime v6.9.2 : alertes sécurisées, capture stable, indexation horodatée
Veille SOC · Sécurité réseau
Le sujet
Arkime v6.9.2
Arkime 6.9.2 sécurise les alertes en échappant les caractères HTML et Markdown, bloquant les injections dans les notifications. Aussi : corrections de la stabilité capture (GeoLite2, packetThreads), des règles BPF et de l'indexation avec fuseaux horaires.
- Famille
- Sécurité réseau
- Version
- v6.9.2
- Publié le
- 12/11/2026
- Source
- Arkime — notes officielles
À quoi sert la solution ?
Arkime capture, indexe et conserve le trafic réseau en PCAP. Il enrichit les chaînes SOC en fournissant un accès rapide et historique au trafic brut, jouant le rôle de système complémentaire aux IDS et SIEM.
Ce qui change
- Les alertes par email et Slack échappent les caractères < et >, tandis que les alertes Teams remplacent les crochets de liens Markdown pour éviter les injections HTML, les manipulations de liens et les mentions @.
- Correction des avertissements « json plus grand que prévu » et des sessions perdues rarement lors de l'utilisation de GeoLite2 City et ASN, améliorant la stabilité du capture.
- Lorsque
packetThreadsest pair, chaque thread n'utilisait qu'une partie de sa table de sessions, causant des recherches lentes. Correction améliore la performance de lookup. - Les règles BPF dans le fichier de règles ne correspondaient jamais avec
tpacketv3,bpf,netmap,tzspaprès rechargement. Correction des optionsdontSaveBPFsetminPacketsSaveBPFs. - Correction : expiration supprimait l'index d'historique hebdomadaire courant quand le viewer s'exécutait dans un fuseau horaire à l'est d'UTC, impactant la rétention.
Sous le capot
Fonctionnement
Architecture inchangée : le capture monitor le trafic, écrit en PCAP local, parse les paquets et envoie les métadonnées (SPI data) à OpenSearch/Elasticsearch. Le viewer accède aux PCAP. Fixes appliquées au moteur d'indexation et aux règles de filtrage BPF.
Déploiement et prérequis
Mise à jour via db.pl upgrade requise si vous venez d'Arkime 5 ou antérieur. Node 22.23.5 requis. Config standard : /opt/arkime/etc/config.ini. Vérifier les fichiers config.hiddenconfig et urlinfile:// si usage d'uploadCommand.
Intégration dans un SOC
Arkime s'intègre à OpenSearch/Elasticsearch pour la requête des sessions. Les alertes (email, Slack, Teams) peuvent être liées à des règles. L'API expose les PCAP et données JSON pour intégration SIEM ou EDR. Port 8005 par défaut.
Pour le SOC
Pour un SOC : le fix des alertes (#4402) réduit les risques de compromission des workflows de notification (email, Slack, Teams). Les stabilisations capture (#4404-4405) diminuent les pertes de sessions et les recherches lentes. Le fix db.pl (#4398) garantit la rétention correcte des historiques multi-fuseaux. Ces améliorations justifient une mise à jour prioritaire pour les centres opérationnels critiques.
Cas pratique — scénario non exécuté
Scénario non exécuté : Un SOC reçoit une alerte email depuis une règle Arkime. Avant 6.9.2, un champ contenant « <script> » ou «  » aurait pu s'exécuter. Avec 6.9.2, les caractères sont échappés, bloquant l'injection malveillante.
À retenir
Ce que ça apporte
- Injection HTML/Markdown bloquée dans les alertes, réduisant les risques de compromission des chaînes de notification SOC. Condition : si les alertes Arkime sont intégrées à des workflows de notification.
- Perte de sessions corrigée (GeoLite2) et performances de lookup améliorées (packetThreads), assurant une indexation complète et fiable du trafic. Condition : si le sensor capture utilise GeoLite2 ou si packetThreads est pair.
Points d’attention
- Le fix db.pl timezone ne s'applique qu'aux indices créés après la mise à jour, les anciens restent sujets au bug. Condition : si rétention utilise des indices existants antérieurs à v6.9.2.
- Les règles BPF ne marchaient pas avec certains lecteurs (tpacketv3, netmap, tzsp), mais la correction ne rétroagit pas sur les règles déjà chargées. Condition : si rules file utilise tpacketv3, bpf, netmap ou tzsp readers.
Termes utiles
- PCAP
- Format standard de capture de paquets réseau, lisible par Wireshark et autres outils d'analyse.
- SPI data
- Métadonnées de session (Session Profile Information) indexée et requêtée sur OpenSearch/Elasticsearch pour les recherches de trafic.
- GeoLite2
- Base de données MaxMind d'enrichissement géographique et ASN pour les métadonnées de sessions réseau.