Пускането на анализатора на трафик Zeek 3.0.0

След седем години от създаването на предишната значима версия представен релиз на системата за анализ на трафик и откриване на мрежови прониквания Zeek 3.0.0 , преди разпространявана под името Bro. Това е първият значителен релиз след преименуването на проекта, извършено, за да не се асоциира името Bro с едноименното маргинално движение, а не с предвидено от авторите намек за "големия брат" от романа на Джордж Оруел "1984". Кодът на системата е написан на C++ и се разпространява под лиценз BSD.

Zeek е платформа за анализ на трафик, фокусирана преди всичко върху проследяване на събития, свързани със сигурността, но не ограничаваща се до това приложение. Предоставят се модули за анализ и разбиране на различни мрежови протоколи на ниво приложения, които отчитат състоянието на връзките и позволяват създаването на подробен дневник (архив) на мрежовата активност. Предлага се предметно-ориентиран език за писане на сценарии за мониторинг и откриване на аномалии с оглед на спецификата на конкретни инфраструктури. Системата е оптимизирана за използване в мрежи с голям капацитет. Предоставя се API за интеграция с външни информационни системи и обмен на данни в реално време.

В ново издание:

• Анализаторът за протокола NTP е напълно пренаписан, добавен е нов анализатор за MQTT. Разширени са възможностите на анализаторите за DNS, RDP, SMB и TLS. За DNS е осигурен анализ на записите SPF, а за DNSSEC — RRSIG, DNSKEY, DS, NSEC и NSEC3 и извеждането на свързани събития. В анализатора SMB е добавена поддръжка за протокола SMB 3.x, а за TLS — поддръжка на TLS 1.3;
• Реализирана е поддръжка за деинкапсулиране на потоци, предавани в тунелите VXLAN;
• Добавена е поддръжка за линкове от типа NFLOG;
• Добавена е възможност за запазване в дневника на извлечените данни в UTF8 кодировка;
• Към езика за сценарии е добавена поддръжка за затваряне на анонимни функции, добавен е оператор за обхождане на таблици във формат ключ-стойност ("for ( key, value in t )"), реализирани са операции за разделяне на вектори в стил Python ("v[2:4]"), предложена е нова структура paraglob за бързо съпоставяне на стринг маски в големи набори от бинарни данни;
• Всички упоминания на името „bro“ в пътища на файлове, настройки, пакети, скриптове, пространства от имена и функции са заменени с „zeek“ (поддържането на стари имена е запазено за осигуряване на обратна съвместимост). Пакетният мениджър bro-pkg е преименуван на zkg.

Източник: opennet.ru