Moloch 流量监控服务器的详细配置
Moloch是一个开源的、大规模的、完整的数据包捕获、索引和数据库系统。Moloch增强了当前的安全基础设施，以标准的PCAP格式存储和索引网络流量，提供快速、索引的访问。为用户快速的浏览、索引和导出提供了直观而简单的web界面。
下面我们来介绍它的安装及配置。
Moloch系统主要由三部分组成
1. Capture 一个线程使用C语言编写用于监控网络流量，将PCAP格式化文件写入磁盘，解析所捕获的数据包并将元数据发送到ElasticSearch。
2. Viewer 一个node.js应用用于运行每个捕获器（capture）并处理web接口和传输中的文件。
3. Elasticsearch 为moloch提供检索数据库的技术。
安装下载ElasticSearch
1. 修改配置文件elasticsearch.yml 中的network.host：服务器的IP
2. 在bin下，执行 ./elasticsearch
3. 在浏览器中测试，输入 http://服务器IP：9200/_cat
出现上述内容，表示ES启动成功。
安装下载Capture
官网地址：http://molo.ch/#downloads
我使用的是centos7版本的，大家可以根据自己服务器的配置选择合适的版本下载。
1. 下载完成后，将压缩包上传到服务器，发现压缩包的后缀比较麻烦，如下：
① 安装 gcc ： yum install gcc
② 先下载一个p7zip软件包 ： http://download.csdn.net/detail/aboboo5200/9726771
③ 解压压缩包 ：tar -jxvf 软件包
④ 进入目录，执行make && make install命令，没有报错说明安装完成。
⑤ 然后用命令解压moloch文件：7za x moloch-0.50.0-1.x86_64.rpm.7z
⑥ 然后解压rpm包 ：rpm -ivh moloch-0.50.0-1.x86_64.rpm 这里应该会有报错信息，需要一些依赖。
我们采用yum命令安装：
yum install wget curl pcre pcre-devel pkgconfig flex bison gcc-c++ zlib-devel e2fsprogs-devel openssl-devel file-devel make gettext libuuid-devel perl-JSON bzip2-libs bzip2-devel perl-libwww-perl libpng-devel xz libffi-devel
yum install libyaml-devel
执行完这两句命令，就可以开始解压moloch的rpm压缩文件了。
根据上面的提示，可以发现解压后的moloch是在 /data/moloch目录下。
⑦ 进入到bin目录下，执行 ./Configure
⑧ 按照上述提示的步骤进行操作
我是自己安装的Elasticsearch，所以走步骤5
进入到db目录下，执行 ./db.pl http://ESHOST:9200 init
Add an admin
在bin目录下执行 sh moloch_add_user.sh <自己设置登陆的用户名> “别名随意定义” <自己设置登陆密码> --admin
⑨ 修改moloch etc/config.ini 配置文件
elasticsearch = http://localhost:9200
Interface = eth1
pcapDir = /data/moloch/pcap 指定存储pcap文件的路径，提前makedir
dropUser = root 指定用户和用户组，要有写pcap的权限
dropGroup = root
⑩ 修改 viewer/config.js
configFile：” /data/moloch/etc/config.ini ”
⑪ 启动capture 和 viewer
systemctl start molochcapture.service
systemctl start molochviewer.service
可以在logs 目录下，查看启动运行的一些日志信息。
测试
在浏览器中，输入 http:// 服务器IP ：8005
在用户名和密码栏输入，刚刚添加的web访问的用户的信息。
表示配置成功