Налична е система за откриване на атаки Suricata 5.0

Организация OISF (Open Information Security Foundation) е публикувала издание на системата за откриване и предотвратяване на мрежови нахлувания Suricata 5.0, която предоставя средства за инспектиране на различни видове трафик. В конфигурациите на Suricata е допустимо използването на база с сигнатури, разработвана от проекта Snort, както и набори с правила Emerging Threats и Emerging Threats Pro. Изходните кодове на проекта се разпространява под лицензия GPLv2.

Основни промени:

• Са представени нови модули за анализ и логване на протоколи
  RDP, SNMP и SIP, написани на езика Rust. В модула за анализ на FTP е добавена възможност за логване чрез подсистемата EVE, която осигурява извеждане на събития в JSON формат;
• В допълнение към въведената в предишното издание поддръжка на метода за идентификация TLS-клиенти JA3, е добавена поддръжка за метода JA3S, позволяващ , който на базата на особеностите на съгласуването на връзките и зададените параметри определя какво софтуерно приложение се използва за установяване на връзката (например, позволява да се определи използването на Tor и други стандартни приложения). JA3 дава възможност да се определят клиентите, а JA3S — сървърите. Резултатите от определянето могат да се използват в езика за задания с правила и в логовете;
• Добавена е експериментална функция за сравнение с извадки от големи набори данни, реализирана чрез нови операции dataset и datarep. Например, функцията е приложима за търсене на маски в големи черни списъци, съдържащи милиони записи;
• В режима на инспектиране на HTTP е осигурено пълно покритие на всички ситуации, описани в тестовия набор HTTP Evader (например, обхваща методите, използвани за скриване на вредоносна активност в трафика);
• Средствата за разработка на модули на езика Rust са преместени от опции в категорията на задължителните стандартни функции. В бъдеще се планира разширяване на използването на Rust в кодовата база на проекта и постепенно заменяне на модулите с аналози, разработени на Rust;
• Двигателят за разпознаване на протоколи е подобрен в областта на повишаване на точността и обработката на асинхронни потоци трафик;
• В EVE лог е добавена поддръжка за нов тип записи „anomaly“, в които се запазват нетипични събития, открити при декодиране на пакети. В EVE също е разширена информацията за VLAN и интерфейсите за захващане на трафик. Добавена е опция за запазване на всички HTTP заглавия в HTTP записите на логовете на EVE;
• В обработчиците на базата на eBPF е осигурена поддръжка на хардуерни механизми за ускорение на улавянето на пакети. Хардуерното ускорение в момента е ограничено до мрежовите адаптери Netronome, но скоро ще бъде налично и за друго оборудване;
• Пренаписан е кодът за улавяне на трафика чрез фреймворка Netmap. Добавена е възможността за използване на разширените функции на Netmap, като виртуален комутатор, VALE;
• Добавено поддръжка на нова схема за определяне на ключови думи за "липки буфери" (Sticky Buffers). Новата схема е дефинирана във формат "протокол.бутер", например, за инспектиране на URI ключовата дума ще изглежда като "http.uri" вместо "http_uri";
• Целият използван Python код е проверен за съвместимост с
  Python 3;
• Прекратена е поддръжката на архитектурата Tilera, текстовия лог dns.log и стария лог files-json.log.

Характеристики на Suricata:

• Използване на унифициран формат за изход на резултатите от проверката Unified2, който също се използва от проекта Snort, позволяващ използването на стандартни инструменти за анализ, като barnyard2. Възможност за интеграция с продуктите BASE, Snorby, Sguil и SQueRT. Поддръжка на изход в формат PCAP;
• Поддръжка на автоматично определяне на протоколи (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и др.), позволяваща работа в правилата само с типа на протокола, без привързване към номер на порт (например, блокиране на HTTP трафик на нестандартен порт). Наличие на декодери за протоколи HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP и SSH;
• Мощна система за анализ на HTTP трафика, използваща специална библиотека HTP, създадена от автора на проекта Mod_Security, за разбиране и нормализиране на HTTP трафика. Достъпен е модул за водене на подробен лог на транзитните HTTP препратки, логът се запазва в стандартен формат
  Apache. Поддържа извличане и проверка на файлове, предавани чрез протокола HTTP. Поддръжка на разбиране на компресиран контент. Възможност за идентификация по URI, Cookie, заглавия, user-agent, тялото на заявката/отговора;
• Поддръжка на различни интерфейси за прихващане на трафика, включително NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Възможен е анализ на вече запазени файлове в формат PCAP;
• Висока производителност, способност за обработка на потоци до 10 гигабита/сек. на обикновено оборудване.
• Високопродуктивен механизъм за съпоставяне по маска с големи набори от IP адреси. Поддръжка на извличане на съдържание по маска и регулярни изрази. Извличане на файлове от трафика, включително тяхната идентификация по име, тип или контролна сума MD5.
• Възможност за използване на променливи в правилата: можете да запазите информация от потока и по-късно да я използвате в други правила;
• Използване на формат YAML в конфигурационните файлове, което позволява да се запази прегледността при лесна машинна обработка;
• Пълна поддръжка на IPv6;
• Вграден двигател за автоматична дефрагментация и преизграждане на пакети, позволяващ коректна обработка на потоковете, независимо от реда на получаване на пакетите;
• Поддръжка на тунелиращи протоколи: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
• Поддръжка на декодиране на пакети: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
• Режим на водене на лог за ключовете и сертификатите, участващи в рамките на TLS/SSL връзките;
• Възможност за написване на скриптове на езика Lua за осигуряване на разширен анализ и реализиране на допълнителни функции, нужни за определяне на видове трафик, за които стандартните правила не са достатъчни.

Източник: opennet.ru