Достъпна е системата за откриване на атаки Suricata 5.0

Организация OISF (Open Information Security Foundation) публикува освободи системата за откриване и предотвратяване на мрежови атаки Suricata 5.0, която предоставя средства за инспекция на различни видове трафик. В конфигурациите на Suricata е допустимо използването на бази с подписи, разработвана от проекта Snort, както и набори от правила Emerging Threats и Emerging Threats Pro. Изходните кодове на проекта се разпространява под лицензия GPLv2.

Основни промени:

• Представени нови модули за анализ и логиране на протоколи
  RDP, SNMP и SIP, написани на Rust. В модула за анализ на FTP е добавена възможността за логиране чрез подсистемата EVE, която осигурява извеждане на събития във формат JSON;
• В допълнение към поддръжката на JA3 за идентификация на TLS клиенти, добавена е поддръжка за JA3S, което която на база особеностите на установяване на връзки и зададени параметри определя какъв софтуер се използва за установяване на връзката (например, позволява да се определи използването на Tor и други характерни приложения). JA3 позволява да се идентифицират клиенти, а JA3S — сървъри. Резултатите от идентификацията могат да се използват в езици за задаване на правила и в логовете;
• Добавена е експериментална възможност за съпоставяне с извадка от големи набори данни, реализирана чрез нови операции dataset и datarep. Например, възможността е приложима за търсене на маски в големи черни списъци, съдържащи милиони записи;
• В режима на инспектиране на HTTP е осигурено пълно покритие на всички ситуации, описани в тестовия набор HTTP Evader (например, обхваща методите, използвани за прикриване на злонамерена активност в трафика);
• Инструментите за разработка на модули на Rust са преведени от опции в задължителни вградени възможности. В бъдеще се планира разширяване на приложението на Rust в кодовата база на проекта и постепенно заместване на модулите с аналози, разработени на Rust;
• Двигателят за определяне на протоколи е подобрен по отношение на точност и обработка на асинхронни потоци от трафик;
• В EVE лог е добавена поддръжка за нов тип записи "anomaly", в които се записват нетипични събития, открити при декодиране на пакети. В EVE също е разширена информацията за VLAN и интерфейсите за захващане на трафик. Добавена е опция за запазване на всички HTTP заглавия в http записите на EVE лог;
• В обработчиците на базата eBPF е осигурена поддръжка за хардуерни механизми за ускорение на захващането на пакети. Хардуерното ускорение за момента е ограничено до мрежови адаптери Netronome, но скоро ще бъде налично и за друго оборудване;
• Преработен код за улавяне на трафик с помощта на фреймворка Netmap. Добавена е възможност за използване на разширените функции на Netmap, като виртуален комутатор. VALE;
• Добавена е подкрепа за нова схема за определяне на ключови думи за "липките буфери" (Sticky Buffers). Новата схема е определена в формата "протокол.буфер", например, за инспектиране на URI ключовата дума ще приеме вида "http.uri" вместо "http_uri";
• Целият използван код на Python е проверен за съвместимост с
  Python 3;
• Прекратена е поддръжката на архитектурата Tilera, текстовия лог dns.log и стария лог files-json.log.

Характеристики на Suricata:

• Използване на унифициран формат за извеждане на резултатите от проверката Unified2, също използван от проекта Snort, което позволява използването на стандартни инструменти за анализ, като barnyard2. Възможност за интеграция с продуктите BASE, Snorby, Sguil и SQueRT. Поддръжка на изход в PCAP формат;
• Поддръжка на автоматично определяне на протоколи (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и др.), позволяваща да се работи в правилата само с типа протокол, без привързване към номер на порт (например, блокиране на HTTP трафик на нестандартен порт). Наличие на декодери за протоколи HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP и SSH;
• Мощна система за анализ на HTTP трафик, използваща специална библиотека HTP, създадена от автора на проекта Mod_Security, за разбор и нормализация на HTTP трафика. Достъпен е модул за водене на подробен журнал на транзитни HTTP прехвърляния, журналът се запазва в стандартен формат.
  Apache. Поддържа извличане и проверка на файлове, предавани по протокол HTTP. Поддръжка на разбор на компресирано съдържание. Възможност за идентификация по URI, Cookie, заглавия, user-agent, тяло на заявка/отговор;
• Поддръжка на различни интерфейси за прихващане на трафик, включително NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Възможен е анализ на вече запазени файлове в формат PCAP;
• Висока производителност, способност да обработва потоци до 10 гигабита/сек на обикновено оборудване.
• Високопроизводителен механизъм за съпоставяне по маска с големи набори IP адреси. Поддръжка за извличане на съдържание по маска и регулярни изрази. Извличане на файлове от трафика, включително тяхната идентификация по име, тип или контролна сума MD5.
• Възможност за използване на променливи в правилата: можете да запазите информация от потока и по-късно да я използвате в други правила;
• Използване на формат YAML в конфигурационните файлове, което позволява запазване на визуализацията при лесна машинна обработка;
• Пълна поддръжка на IPv6;
• Вграден двигател за автоматична дефрагментация и повторно сглобяване на пакети, позволяващ коректна обработка на потоците, независимо от реда на постъпване на пакетите;
• Поддръжка на тунелни протоколи: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
• Поддръжка на декодиране на пакети: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
• Режим на водене на журнал на ключове и сертификати, фигуриращи в рамките на съединения TLS/SSL;
• Възможност за писане на скриптове на езика Lua за осигуряване на разширен анализ и реализиране на допълнителни възможности, необходими за определяне на видове трафик, за които стандартните правила не са достатъчни.

Източник: opennet.ru