Публикуван е релиз на новата стабилна версия на мрежовия анализатор Wireshark 4.4. Програмата поддържа над хиляда мрежови протоколи и десетки формати за улавяне на трафик. Предоставя гъвкав интерфейс за създаване на филтри, улавяне на трафик, анализ на запазени дампове и инспекция на пакети. Поддържат се разширени функции, като повторно подреждане на пакетите, извличане и запазване на съдържанието на файлове, предавани с различни протоколи, възпроизвеждане на VoIP и RTP потоци, разшифроване на IPsec, ISAKMP, Kerberos, SNMPv3, SSL/TLS, WEP и WPA/WPA2. Кодът на проекта е разпространен под лиценз GPLv2.
Основни нововъведения в Wireshark 4.4.0:
- Добавена е поддръжка за автоматично превключване на профили с настройки. Потребителят може да свърже филтър за показване с профил и, ако се отвори файл с улавян трафик, който попада под филтъра, автоматично ще се активира свързаният с него профил.
- Добавена е поддръжка за Lua 5.3 и 5.4. Поддръжката на Lua 5.1 и 5.2 е прекратена.
- Подобрена е поддръжката на стрингови стойности в филтрите за показване (появи се възможност за стрингова представяне на числови полета).
- Предоставена е възможност за дефиниране на функции на филтри под формата на плъгини, аналогично на парсерите за файлове и модулите за протоколи.
- Добавена е операция "Edit > Copy > Display filter as pcap filter" за преобразуване на филтри за показване в pcap-филтри с еквивалентни полета.
- Подобрени са много графични диалози, модернизирани са графиките на входно/изходните операции, трафика, VoIP повикванията и TCP потоковете.
- Разрешено е определянето на собствени колони, за формирането на които могат да се използват всякакви операции над полета (функции на филтри, аритметични изчисления, логически операции, модификатори на протоколи и т.н.).
- Разрешено е определянето на собствени изходни полета за "tshark -e", използвайки операции над наличните полета.
- Добавена е поддръжка за компилиране с библиотеката zlib-ng вместо zlib за работа със стиснати файлове.
- Добавена е поддръжка за протоколи и формати:
- Allied Telesis Resiliency Link (AT RL),
- ATN Security Label,
- Bit Index Explicit Replication (BIER),
- Bus Mirroring Protocol,
- EGNOS Message Server (EMS),
- Galileo E1-B I/NAV,
- IBM i RDMA Endpoint (iRDMA-EDP),
- IWBEMSERVICES, MAC NR Framed (mac-nr-framed),
- Matter Bluetooth Transport Protocol (MatterBTP),
- MiWi P2P Star,
- Monero,
- NMEA 0183,
- PLDM,
- RDP authentication redirection virtual channel protocol (rdpear),
- RF4CE Network Layer (RF4CE),
- RF4CE Profile (RF4CE Profile),
- RK512, SAP Remote Function Call (SAPRFC),
- SBAS L1 навигационно съобщение,
- Scanner Access Now Easy (SANE),
- TREL,
- WMIO,
- ZeroMQ Message Transport Protocol (ZMTP).
- Устранена уязвимост (CVE-2024-8250), която довежда до аварийно приключване при обработка на специално форматирани пакети.
Допълнително може да се отбележи пускането на системата за анализ на трафик и идентификация на мрежови инвазии Zeek 7.0.0, преди разпространявана под името Bro. Zeek представлява платформа за анализ на трафик, ориентирана предимно към проследяване на събития, свързани с безопасността, но не ограничаваща се само до това приложение. Платформата Zeek предоставя модули за анализ и разбиране на различни мрежови протоколи на нивото на приложенията, като взема предвид състоянието на връзките и позволява формирането на подробен журнал на мрежовата активност. Предлага се предметно-ориентиран език за писане на сценарии за мониторинг и идентифициране на аномалии с оглед на спецификата на конкретните инфраструктури. Системата е оптимизирана за работа в мрежи с висока пропускателна способност. Предоставя се API за интеграция с външни информационни системи и обмен на данни в реално време. Кодът на системата е написан на C++ и се разпространява под лицензия BSD.
В новото издание Zeek:
- Преработен е фреймворкът Telemetry, използван за събиране и износ на статистически данни (например, брой открити връзки и интензивност на заявките). Вместо агрегиране на метрики на крайните възли с тяхното насочване към отделен управляващ възел, в новата версия за събиране на метрики от възлите е използван механизъм за определяне на услуги на база Prometheus.
- Генераторът на парсери за разбиране на протоколи и файлове е обновен до версия Spicy 1.11, в която е променено представянето на кода в паметта, увеличена е надеждността на работа, подобрено е обработването на загуба на пакети, разширена е поддръжката на битови полета и е ускорена работата (за някои протоколи увеличението на производителността достига 30%).
- Добавена е поддръжка на двигателя за оптимизация на скриптове ZAM (Zeek Abstract Machine), позволяващ повишаване на производителността на Zeek-скриптове чрез компилация на възли на синтактичното дърво в по-ефективна изпълнима нискоуровнева форма.
- Предложени са нови анализатори на протоколи QUIC и LDAP, изградени с помощта на генератора на парсери Spicy.
- Гарантирано коректно обработване на прехвърлянето към по-новите версии на протокола HTTP.
- Подобрена е анализа на WebSocket.
- Добавена е поддръжка за отложено записване в лог.
Източник: opennet.ru
