Instalação Arkime · 7 min read · Oct 10, 2025

Como Instalar a Ferramenta de Captura de Pacotes Arkime Moloch no Ubuntu 22.04

Arkime é uma ferramenta de captura e pesquisa de pacotes indexada em larga escala, gratuita e de código aberto, que armazena e indexa o tráfego de rede no formato PCAP. Também é conhecida como Moloch, que foi projetada para ser implantada em vários sistemas agrupados, proporcionando a capacidade de escalar para lidar com múltiplos gigabits por segundo de tráfego. Arkime possui uma interface administrativa integrada que ajuda você a navegar, pesquisar e exportar PCAP. Você pode usar outras ferramentas de ingestão de PCAP para analisar seu fluxo de trabalho.

Este tutorial mostrará como instalar a ferramenta de captura de pacotes Arkime no Ubuntu 22.04.

Pré-requisitos

  • Um servidor executando Ubuntu 22.04.
  • Uma senha de root configurada no servidor.

Começando

Antes de começar, você precisará atualizar os pacotes do seu sistema para a versão mais recente. Você pode atualizá-los com o seguinte comando:

apt-get update -y

Uma vez que todos os pacotes estejam atualizados, instale as dependências necessárias usando o seguinte comando:

apt-get install gnupg2 curl wget -y

Em seguida, você também precisará instalar as bibliotecas Libssl e Libffi no seu sistema. Você pode baixar e instalar ambas executando o seguinte comando:

wget http://es.archive.ubuntu.com/ubuntu/pool/main/libf/libffi/libffi7_3.3-4_amd64.deb  
wget http://archive.ubuntu.com/ubuntu/pool/main/o/openssl/libssl1.1_1.1.1f-1ubuntu2_amd64.deb  
dpkg -i libffi7_3.3-4_amd64.deb  
dpkg -i libssl1.1_1.1.1f-1ubuntu2_amd64.deb  
ln -s /usr/lib/x86_64-linux-gnu/libssl.so.1.1 /usr/local/lib/  
ln -s /usr/lib/x86_64-linux-gnu/libffi.so.7 /usr/local/lib/

Uma vez que todos os pacotes estejam instalados, você pode prosseguir para a próxima etapa.

Instalar Elasticsearch

Arkime usa o Elasticsearch para indexação e pesquisa. Portanto, o Elasticsearch deve ser instalado no seu sistema. Por padrão, a versão mais recente do Elasticsearch não está incluída no repositório padrão do Ubuntu. Portanto, você precisará adicionar o repositório do Elasticsearch ao seu sistema.

Primeiro, adicione a chave GPG com o seguinte comando:

wget -qO - https://artifacts.elastic.co/GPG-KEY-elasticsearch --no-check-certificate | apt-key add -

Em seguida, adicione o repositório do Elasticsearch ao APT com o seguinte comando:

echo "deb https://artifacts.elastic.co/packages/7.x/apt stable main" | tee -a /etc/apt/sources.list.d/elastic-7.x.list

Em seguida, atualize o repositório e instale o pacote Elasticsearch com o seguinte comando:

apt-get update -y  
apt-get install elasticsearch -y

Uma vez que o Elasticsearch esteja instalado, edite o arquivo de configuração do Elasticsearch e defina a memória Java:

nano /etc/elasticsearch/jvm.options

Altere as seguintes linhas:

-Xms500m
-Xmx500m

Salve e feche o arquivo, então habilite o serviço Elasticsearch para iniciar na reinicialização do sistema com o seguinte comando:

systemctl enable --now elasticsearch

Por padrão, o Elasticsearch escuta na porta 9200. Você pode verificar com o seguinte comando:

ss -antpl | grep 9200

Você deve obter a seguinte saída:

LISTEN 0      4096   [::ffff:127.0.0.1]:9200            *:*    users:(("java",pid=30581,fd=291))                                                                                                                                                                                                                                                                                
LISTEN 0      4096                [::1]:9200         [::]:*    users:(("java",pid=30581,fd=290))

Você também pode verificar o Elasticsearch com o seguinte comando:

curl http://localhost:9200

Você deve obter a seguinte saída:

{
  "name" : "ubuntu2204",
  "cluster_name" : "elasticsearch",
  "cluster_uuid" : "6QiUfVa4Q9G8lxHjuVLjUQ",
  "version" : {
    "number" : "7.17.5",
    "build_flavor" : "default",
    "build_type" : "deb",
    "build_hash" : "8d61b4f7ddf931f219e3745f295ed2bbc50c8e84",
    "build_date" : "2022-06-23T21:57:28.736740635Z",
    "build_snapshot" : false,
    "lucene_version" : "8.11.1",
    "minimum_wire_compatibility_version" : "6.8.0",
    "minimum_index_compatibility_version" : "6.0.0-beta1"
  },
  "tagline" : "Você Sabe, para Pesquisa"
}

Neste ponto, o Elasticsearch está instalado e em execução. Você pode agora prosseguir para a próxima etapa.

Instalar e Configurar Arkime

Primeiro, baixe a versão mais recente do Arkime com o seguinte comando:

wget https://s3.amazonaws.com/files.molo.ch/builds/ubuntu-20.04/arkime_3.4.2-1_amd64.deb

Uma vez que o pacote esteja baixado, instale o pacote baixado com o seguinte comando:

apt install ./arkime_3.4.2-1_amd64.deb

Uma vez que o Arkime esteja instalado, execute o seguinte comando para configurá-lo:

/opt/arkime/bin/Configure

Você será solicitado a especificar a interface de rede, conforme mostrado abaixo:

Found interfaces: lo;eth0;eth1
Semicolon ';' seperated list of interfaces to monitor [eth1] eth0

Digite o nome da sua interface de rede e pressione Enter para continuar. Uma vez que a configuração esteja concluída, você deve obter a seguinte saída:

Install Elasticsearch server locally for demo, must have at least 3G of memory, NOT recommended for production use (yes or no) [no] no
Elasticsearch server URL [http://localhost:9200] 
Password to encrypt S2S and other things, don't use spaces [no-default] password
Arkime - Creating configuration files
Installing systemd start files, use systemctl
Arkime - Installing /etc/logrotate.d/arkime to rotate files after 7 days
Arkime - Installing /etc/security/limits.d/99-arkime.conf to make core and memlock unlimited
Download GEO files? You'll need a MaxMind account https://arkime.com/faq#maxmind (yes or no) [yes] no
Arkime - NOT downloading GEO files

Arkime - Configured - Now continue with step 4 in /opt/arkime/README.txt

 4) The Configure script can install elasticsearch for you or you can install yourself
      systemctl start elasticsearch.service
 5) Initialize/Upgrade Elasticsearch Arkime configuration
  a) If this is the first install, or want to delete all data
      /opt/arkime/db/db.pl http://ESHOST:9200 init
  b) If this is an update to a moloch/arkime package
      /opt/arkime/db/db.pl http://ESHOST:9200 upgrade
 6) Add an admin user if a new install or after an init
      /opt/arkime/bin/arkime_add_user.sh admin "Admin User" THEPASSWORD --admin
 7) Start everything
      systemctl start arkimecapture.service
      systemctl start arkimeviewer.service
 8) Look at log files for errors
      /opt/arkime/logs/viewer.log
      /opt/arkime/logs/capture.log
 9) Visit http://arkimeHOST:8005 with your favorite browser.
      user: admin
      password: THEPASSWORD from step #6

If you want IP -> Geo/ASN to work, you need to setup a maxmind account and the geoipupdate program.
See https://arkime.com/faq#maxmind

Any configuration changes can be made to /opt/arkime/etc/config.ini
See https://arkime.com/faq#moloch-is-not-working for issues

Additional information can be found at:
  * https://arkime.com/faq
  * https://arkime.com/settings

Uma vez que você tenha terminado, pode prosseguir para a próxima etapa.

Inicializar a configuração do Elasticsearch Arkime

Em seguida, você precisará inicializar a configuração do Elasticsearch Arkime. Você pode fazer isso com o seguinte comando:

/opt/arkime/db/db.pl http://localhost:9200 init

Em seguida, crie uma conta de usuário administrador para o Arkime com o seguinte comando:

/opt/arkime/bin/arkime_add_user.sh admin "Moloch SuperAdmin" password --admin

Em seguida, atualize o banco de dados Geo usando o seguinte comando:

/opt/arkime/bin/arkime_update_geo.sh

Uma vez que você tenha terminado, pode prosseguir para a próxima etapa.

Iniciar e Gerenciar Serviços Arkime

Arkime é composto por três componentes: captura, visualizador e elasticsearch. Portanto, você precisará iniciar o serviço para cada componente.

Você pode iniciar o serviço Arkimecapture e Arkimeviewer e habilitá-los para iniciar na reinicialização do sistema com o seguinte comando:

systemctl enable --now arkimecapture  
systemctl enable --now arkimeviewer

Você pode agora verificar o status de ambos os serviços com o seguinte comando:

systemctl status arkimecapture arkimeviewer

Você deve obter a seguinte saída:

? arkimecapture.service - Arkime Capture
     Loaded: loaded (/etc/systemd/system/arkimecapture.service; enabled; vendor preset: enabled)
     Active: active (running) since Mon 2022-08-15 03:55:10 UTC; 1min 0s ago
    Process: 33704 ExecStartPre=/opt/arkime/bin/arkime_config_interfaces.sh -c /opt/arkime/etc/config.ini -n default (code=exited, status=0/S>
   Main PID: 33724 (sh)
      Tasks: 7 (limit: 2242)
     Memory: 213.2M
        CPU: 806ms
     CGroup: /system.slice/arkimecapture.service
             ??33724 /bin/sh -c "/opt/arkime/bin/capture -c /opt/arkime/etc/config.ini  >> /opt/arkime/logs/capture.log 2>&1"
             ??33725 /opt/arkime/bin/capture -c /opt/arkime/etc/config.ini

Aug 15 03:55:09 ubuntu2204 systemd[1]: Starting Arkime Capture...
Aug 15 03:55:10 ubuntu2204 systemd[1]: Started Arkime Capture.

? arkimeviewer.service - Arkime Viewer
     Loaded: loaded (/etc/systemd/system/arkimeviewer.service; enabled; vendor preset: enabled)
     Active: active (running) since Mon 2022-08-15 03:08:39 UTC; 47min ago
   Main PID: 31759 (sh)
      Tasks: 12 (limit: 2242)
     Memory: 56.7M
        CPU: 2.127s
     CGroup: /system.slice/arkimeviewer.service
             ??31759 /bin/sh -c "/opt/arkime/bin/node viewer.js -c /opt/arkime/etc/config.ini  >> /opt/arkime/logs/viewer.log 2>&1"
             ??31760 /opt/arkime/bin/node viewer.js -c /opt/arkime/etc/config.ini

Aug 15 03:08:39 ubuntu2204 systemd[1]: Started Arkime Viewer.

Você pode verificar o log do visualizador com o seguinte comando:

tail -f /opt/arkime/logs/viewer.log

Você pode agora verificar o log de captura com o seguinte comando:

tail -f /opt/arkime/logs/capture.log

Você deve ver a seguinte saída:

Aug 15 03:57:20 http.c:389 moloch_http_curlm_check_multi_info(): 2/3 ASYNC 201 http://localhost:9200/arkime_dstats/_doc/ubuntu2204-1408-5 804/159 0ms 20ms
Aug 15 03:57:20 http.c:389 moloch_http_curlm_check_multi_info(): 1/3 ASYNC 200 http://localhost:9200/arkime_stats/_doc/ubuntu2204?version_type=external&version=66 798/157 0ms 24ms
Aug 15 03:57:22 http.c:389 moloch_http_curlm_check_multi_info(): 1/3 ASYNC 200 http://localhost:9200/_bulk 715/221 0ms 10ms
Aug 15 03:57:22 http.c:389 moloch_http_curlm_check_multi_info(): 1/3 ASYNC 200 http://localhost:9200/arkime_stats/_doc/ubuntu2204?version_type=external&version=67 805/158 0ms 12ms
Aug 15 03:57:24 http.c:389 moloch_http_curlm_check_multi_info(): 1/3 ASYNC 200 http://localhost:9200/_bulk 1471/253 0ms 24ms
Aug 15 03:57:24 http.c:389 moloch_http_curlm_check_multi_info(): 1/3 ASYNC 200 http://localhost:9200/arkime_stats/_doc/ubuntu2204?version_type=external&version=68 806/157 0ms 18ms
Aug 15 03:57:25 http.c:389 moloch_http_curlm_check_multi_info(): 1/3 ASYNC 201 http://localhost:9200/arkime_dstats/_doc/ubuntu2204-1409-5 808/159 0ms 10ms

Acessar a Interface Web do Arkime

Neste ponto, o Arkime está iniciado e escutando na porta 8005. Você pode verificar com o seguinte comando:

ss -antpl | grep 8005

Você deve obter a seguinte saída:

LISTEN   0        511                          *:8005                  *:*       users:(("node",pid=11362,fd=20))

Agora, abra seu navegador da web e acesse a interface web do Arkime usando a URL http://your-server-ip:8005. Você será solicitado a fornecer seu nome de usuário e senha de administrador, conforme mostrado abaixo:

Forneça seu nome de usuário de administrador, senha e clique no botão Entrar. Você deve ver o painel do Arkime na seguinte página:

Conclusão

Parabéns! você instalou e configurou com sucesso a ferramenta de captura de pacotes Arkime no servidor Ubuntu 22.04. Você pode agora explorar o Arkime para mais funcionalidades e começar a capturar pacotes. Sinta-se à vontade para me perguntar se você tiver alguma dúvida.

Share: X/Twitter LinkedIn
#Instalação Arkime

Receba novas postagens na sua caixa de entrada

Sem spam. Cancele a assinatura a qualquer momento.