След седем години от образуването на предишната значима версия издание на системата за анализ на трафик и откриване на мрежови нахлувания , по-рано известен под името Bro. Това е първото значимо издание след , осъществено, тъй като името Bro е асоциирано с едноименната маргинална субкултура, а не като замисления от авторите намек за "големия брат" от романа на Джордж Оруел "1984". Кодът на системата е написан на C++ и под лиценз BSD.
Zeek е платформа за анализ на трафик, насочена предимно към проследяване на събития, свързани със сигурността, но не ограничаваща се само до това приложение. Предоставят се модули за анализ и парсинг на различни приложения на мрежови протоколи, отчитащи състоянието на връзките и позволяващи генерирането на подробен журнал (архив) на мрежовата активност. Предлага се предметно-ориентиран език за писане на сценарии за мониторинг и откриване на аномалии с оглед спецификата на конкретната инфраструктура. Системата е оптимизирана за работа в мрежи с висока пропускателна способност. Предоставя се API за интеграция със странични информационни системи и обмен на данни в реално време.
В :
- Анализаторът за протокол NTP е напълно пренаписан и нов анализатор за MQTT е добавен. Възможностите на анализаторите за DNS, RDP, SMB и TLS са разширени. За DNS е осигурен парсинг на SPF записи, а за DNSSEC — RRSIG, DNSKEY, DS, NSEC и NSEC3 и извеждане на свързаните с тях събития. В анализатора SMB е добавена поддръжка за протокол SMB 3.x, а за TLS е добавена поддръжка за TLS 1.3;
- Поддръжка за деинкапсулиране на потоци, предавани в тунели VXLAN, е реализирана;
- Добавена е поддръжка за връзки от тип NFLOG;
- Добавена е възможност за записване в лог на извлечените данни в кодировка UTF8;
- В езика за сценарии е добавена поддръжка за затваряне на анонимни функции, добавен е оператор за преглед на таблици във формат ключ-стойност ("for (key, value in t)") и реализирани са операции за разделяне на вектори в стил Python ("v[2:4]"), предложена е нова структура paraglob за бързо съпоставяне на стрингови маски в големи набори от бинарни данни;
- Всички споменавания на името «bro» в файловите пътеки, настройките, пакетите, скриптовете, пространствата от имена и функциите са заменени с «zeek» (поддръжката на старите имена е запазена за осигуряване на обратно съвместимост). Пакетният мениджър bro-pkg е преименуван на zkg.
Източник: opennet.ru
