بعد سبع سنوات من تشكيل آخر فرع مهم إطلاق نظام تحليل حركة المرور وكشف التسلل على الشبكة ، تم توزيعها سابقًا تحت اسم Bro. هذا هو أول إصدار مهم منذ ذلك الحين ، لأن اسم Bro كان مرتبطًا بالثقافة الفرعية الهامشية التي تحمل الاسم نفسه ، وليس كتلميح لـ "الأخ الأكبر" من رواية جورج أورويل "1984" التي تصورها المؤلفون. رمز النظام مكتوب بلغة C ++ و تحت رخصة BSD.
Zeek عبارة عن نظام أساسي لتحليل حركة المرور يركز بشكل أساسي على ، على سبيل المثال لا الحصر ، مراقبة الأحداث المتعلقة بالأمان. يتم توفير وحدات لتحليل وتحليل بروتوكولات الشبكة المختلفة على مستوى التطبيق ، مع مراعاة حالة الاتصالات والسماح بتكوين سجل مفصل (أرشيف) لنشاط الشبكة. تم اقتراح لغة خاصة بالمجال لكتابة البرامج النصية لرصد الحالات الشاذة واكتشافها ، مع مراعاة خصوصيات البنى التحتية المحددة. تم تحسين النظام للاستخدام في شبكات النطاق الترددي العالي. يتم توفير API للتكامل مع أنظمة المعلومات التابعة لجهات خارجية وتبادل البيانات في الوقت الفعلي.
В :
- تمت إعادة كتابة المحلل اللغوي لبروتوكول NTP بالكامل وتمت إضافة محلل جديد لـ MQTT. قدرات محلل موسعة لـ DNS و RDP و SMB و TLS. بالنسبة إلى DNS ، يتم تحليل سجلات نظام التعرف على هوية المرسل (SPF) ، ويتم تحليل سجلات DNSSEC و RRSIG و DNSKEY و DS و NSEC و NSEC3 ويتم تمييز الأحداث المرتبطة بها. إضافة دعم لبروتوكول SMB 3.x إلى محلل SMB ، ودعم TLS 1.3 ؛
- تم تنفيذ الدعم لإزالة الكبسولة من التدفقات المنقولة داخل أنفاق VXLAN ؛
- دعم إضافي للروابط من نوع NFLOG ؛
- تمت إضافة القدرة على حفظ البيانات المستخرجة في السجل بترميز UTF8 ؛
- تمت إضافة دعم لعمليات الإغلاق للوظائف المجهولة إلى لغة البرمجة النصية ، وإضافة عامل تكرار لجدول القيمة الرئيسية ("لـ (المفتاح ، القيمة في t)") ، وتنفيذ عمليات تقسيم المتجه بأسلوب Python ("v [2: 4]") ، اقترح بنية مظلة جديدة للمطابقة السريعة لأقنعة السلسلة في مجموعات البيانات الثنائية الكبيرة ؛
- تم تغيير جميع الإشارات إلى الاسم "bro" في مسارات الملفات والإعدادات والحزم والبرامج النصية ومساحات الأسماء والوظائف إلى "zeek" (يتم دعم الأسماء القديمة للتوافق مع الإصدارات السابقة). تمت إعادة تسمية مدير الحزم bro-pkg إلى zkg.
المصدر: opennet.ru