Vrystelling van Suricata 6.0-inbraakdetectiestelsel

После года разработки организация OISF (Open Information Security Foundation) gepubliseer vrystelling van netwerk indringing opsporing en voorkoming stelsel Meerkat 6.0, wat gereedskap verskaf om verskillende soorte verkeer te inspekteer. In Suricata-konfigurasies is dit moontlik om te gebruik handtekening databasisse, ontwikkel deur die Snort-projek, sowel as stelle reëls Opkomende bedreigings и Emerging Threats Pro. Projek bronne versprei gelisensieer onder GPLv2.

Belangrikste veranderinge:

• Начальная поддержка HTTP/2.
• Поддержка протоколов RFB и MQTT, включая возможность определения протокола и ведения лога.
• Возможность ведения лога для протокола DCERPC.
• Значительное повышение производительности ведения лога через подсистему EVE, обеспечивающую вывод событий в формате JSON. Ускорение достигнуто благодаря задействованию нового построитель сток JSON, написанного на языке Rust.
• Повышена масштабируемость системы логов EVE и реализована возможность ведения отельного лог-файла на каждый поток.
• Возможность определения условий для сброса сведений в лог.
• Возможность отражения MAC-адресов в логе EVE и повышение детализации лога DNS.
• Повышение производительности движка обработки потоков (flow engine).
• Поддержка идентификации реализаций SSH (HASSH).
• Реализация декодировщика туннелей GENEVE.
• На языке Rust переписан код для обработки ASN.1, DCERPC и SSH. На Rust также реализована поддержка новых протоколов.
• В языке определения правил в ключевом слове byte_jump добавлена поддержка параметра from_end, а в byte_test — параметра bitmask. Реализовано ключевое слово pcrexform, позволяющее использовать регулярные выражения (pcre) для захвата подстроки. Добавлено преобразование urldecode. Добавлено ключевое слово byte_math.
• Предоставления возможность использования cbindgen для генерации привязок на языках Rust и C.
• Добавлена начальная поддержка плагинов.

Kenmerke van Suricata:

• Gebruik 'n verenigde formaat om skanderingsresultate te vertoon verenig 2, wat ook deur die Snort-projek gebruik word, wat die gebruik van standaardanalise-instrumente soos skuurplaas 2. Moontlikheid van integrasie met BASE, Snorby, Sguil en SQueRT produkte. PCAP uitset ondersteuning;
• Ondersteuning vir outomatiese opsporing van protokolle (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB, ens.), wat jou toelaat om slegs volgens protokoltipe in reëls te werk, sonder verwysing na die poortnommer (byvoorbeeld, blokkeer HTTP verkeer op 'n nie-standaard hawe). Beskikbaarheid van dekodeerders vir HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP en SSH protokolle;
• 'n Kragtige HTTP-verkeeranalisestelsel wat 'n spesiale HTP-biblioteek gebruik wat deur die skrywer van die Mod_Security-projek geskep is om HTTP-verkeer te ontleed en te normaliseer. 'n Module is beskikbaar vir die handhawing van 'n gedetailleerde log van transito HTTP-oordragte; die log word in 'n standaardformaat gestoor
  Apache. Die herwinning en kontrolering van lêers wat via HTTP versend is, word ondersteun. Ondersteuning vir die ontleding van saamgeperste inhoud. Vermoë om te identifiseer deur URI, Koekie, opskrifte, gebruiker-agent, versoek / antwoord liggaam;

• Ondersteuning vir verskeie koppelvlakke vir verkeersonderskepping, insluitend NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Dit is moontlik om reeds gestoorde lêers in PCAP-formaat te ontleed;
• Hoë werkverrigting, vermoë om vloei tot 10 gigabit/sek op konvensionele toerusting te verwerk.
• Hoëprestasie-maskerpasmeganisme vir groot stelle IP-adresse. Ondersteuning vir die keuse van inhoud deur masker en gereelde uitdrukkings. Isoleer lêers van verkeer, insluitend hul identifikasie volgens naam, tipe of MD5-kontrolesom.
• Vermoë om veranderlikes in reëls te gebruik: jy kan inligting van 'n stroom stoor en dit later in ander reëls gebruik;
• Gebruik van die YAML-formaat in konfigurasielêers, wat jou toelaat om duidelikheid te handhaaf terwyl dit maklik is om te verwerk;
• Volle IPv6-ondersteuning;
• Ingeboude enjin vir outomatiese defragmentering en hersamestelling van pakkies, wat die korrekte verwerking van strome moontlik maak, ongeag die volgorde waarin pakkies aankom;
• Ondersteuning vir tonnelprotokolle: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
• Pakketdekoderingondersteuning: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
• Modus vir die aanteken van sleutels en sertifikate wat binne TLS/SSL-verbindings verskyn;
• Die vermoë om skrifte in Lua te skryf om gevorderde analise te verskaf en bykomende vermoëns te implementeer wat nodig is om tipes verkeer te identifiseer waarvoor standaardreëls nie voldoende is nie.

Bron: opennet.ru