# Arkime v6.9.2 : alertes sécurisées, capture stable, indexation horodatée

- Link: https://dpioch.aristeecampus.org/veille/soc-cee41df8a41510d807c7/
- Published: 2026-11-13T01:30:34+01:00
- Author: Admin

![banner](https://dpioch.aristeecampus.org/wp-content/uploads/2026/11/soc-33ce964c79afa4ec05830428f16b4a57263b9d3e836210d572836d726e466e3e.
png)

Veille SOC · Sécurité réseau

## Le sujet

Arkime v6.9.2

Arkime 6.9.2 sécurise les alertes en échappant les caractères HTML et Markdown, 
bloquant les injections dans les notifications. Aussi : corrections de la stabilité
capture (GeoLite2, packetThreads), des règles BPF et de l'indexation avec fuseaux
horaires.

 Famille Sécurité réseau

 Version v6.9.2

 Publié le 12/11/2026

 Source Arkime — notes officielles

## À quoi sert la solution ?

Arkime capture, indexe et conserve le trafic réseau en PCAP. Il enrichit les chaînes
SOC en fournissant un accès rapide et historique au trafic brut, jouant le rôle 
de système complémentaire aux IDS et SIEM.

## Ce qui change

 * Les alertes par email et Slack échappent les caractères < et >, tandis que les
   alertes Teams remplacent les crochets de liens Markdown pour éviter les injections
   HTML, les manipulations de liens et les mentions @.
 * Correction des avertissements « json plus grand que prévu » et des sessions perdues
   rarement lors de l'utilisation de GeoLite2 City et ASN, améliorant la stabilité
   du capture.
 * Lorsque `packetThreads` est pair, chaque thread n'utilisait qu'une partie de 
   sa table de sessions, causant des recherches lentes. Correction améliore la performance
   de lookup.
 * Les règles BPF dans le fichier de règles ne correspondaient jamais avec `tpacketv3`,`
   bpf`, `netmap`, `tzsp` après rechargement. Correction des options `dontSaveBPFs`
   et `minPacketsSaveBPFs`.
 * Correction : expiration supprimait l'index d'historique hebdomadaire courant 
   quand le viewer s'exécutait dans un fuseau horaire à l'est d'UTC, impactant la
   rétention.

## Sous le capot

### Fonctionnement

Architecture inchangée : le `capture` monitor le trafic, écrit en PCAP local, parse
les paquets et envoie les métadonnées (SPI data) à OpenSearch/Elasticsearch. Le `
viewer` accède aux PCAP. Fixes appliquées au moteur d'indexation et aux règles de
filtrage BPF.

### Déploiement et prérequis

Mise à jour via `db.pl upgrade` requise si vous venez d'Arkime 5 ou antérieur. Node
22.23.5 requis. Config standard : `/opt/arkime/etc/config.ini`. Vérifier les fichiers`
config.hiddenconfig` et `urlinfile://` si usage d'uploadCommand.

### Intégration dans un SOC

Arkime s'intègre à OpenSearch/Elasticsearch pour la requête des sessions. Les alertes(
email, Slack, Teams) peuvent être liées à des règles. L'API expose les PCAP et données
JSON pour intégration SIEM ou EDR. Port 8005 par défaut.

## Pour le SOC

Pour un SOC : le fix des alertes (#4402) réduit les risques de compromission des
workflows de notification (email, Slack, Teams). Les stabilisations capture (#4404-
4405) diminuent les pertes de sessions et les recherches lentes. Le fix db.pl (#
4398) garantit la rétention correcte des historiques multi-fuseaux. Ces améliorations
justifient une mise à jour prioritaire pour les centres opérationnels critiques.

## Cas pratique — scénario non exécuté

Scénario non exécuté : Un SOC reçoit une alerte email depuis une règle Arkime. Avant
6.9.2, un champ contenant « <script> » ou « ![](lien) » aurait pu s'exécuter. Avec
6.9.2, les caractères sont échappés, bloquant l'injection malveillante.

## À retenir

### Ce que ça apporte

 * Injection HTML/Markdown bloquée dans les alertes, réduisant les risques de compromission
   des chaînes de notification SOC. Condition : si les alertes Arkime sont intégrées
   à des workflows de notification.
 * Perte de sessions corrigée (GeoLite2) et performances de lookup améliorées (packetThreads),
   assurant une indexation complète et fiable du trafic. Condition : si le sensor
   capture utilise GeoLite2 ou si packetThreads est pair.

### Points d’attention

 * Le fix db.pl timezone ne s'applique qu'aux indices créés après la mise à jour,
   les anciens restent sujets au bug. Condition : si rétention utilise des indices
   existants antérieurs à v6.9.2.
 * Les règles BPF ne marchaient pas avec certains lecteurs (tpacketv3, netmap, tzsp),
   mais la correction ne rétroagit pas sur les règles déjà chargées. Condition :
   si rules file utilise tpacketv3, bpf, netmap ou tzsp readers.

Termes utiles

  PCAP Format standard de capture de paquets réseau, lisible par Wireshark et autres
outils d'analyse. SPI data Métadonnées de session (Session Profile Information) 
indexée et requêtée sur OpenSearch/Elasticsearch pour les recherches de trafic. 
GeoLite2 Base de données MaxMind d'enrichissement géographique et ASN pour les métadonnées
de sessions réseau.

## Sources

Les nouveautés reposent sur les notes du projet, sans confirmation indépendante ;
aucun test local.

 * [Arkime — notes officielles](https://api.github.com/repos/arkime/arkime/releases/443098004)
 * [Arkime — README officiel](https://raw.githubusercontent.com/arkime/arkime/v6.9.2/README.md)