Достъпна е системата за откриване на атаки Suricata 8.0

След две години разработка, организацията OISF (Open Information Security Foundation) публикува версия 8.0 на системата за откриване и предотвратяване на мрежови нахлувания Suricata, която предоставя средства за инспекция на различни видове трафик. В конфигурациите на Suricata е възможно използването на базата от сигнатури, разработвана от проекта Snort, както и наборите от правила Emerging Threats и Emerging Threats Pro. Изходният код на проекта е разпространен под лицензия GPLv2.

Основни промени:

• Добавена е експериментална опция за използване на Suricata като междутелевизионен екран. Режимът на междутелевизионен екран позволява използването на диалекта на езика за инспекция на трафика за филтриране на мрежови пакети.
• Преработена е функционалността за писане на скриптове на езика Lua. В кодовата база е интегриран интерпретатор Lua 5.4, който се стартира в среда с ограничения, ограничаваща правилата на Lua (например, от правилата не може да се извършва запис в файлове или да се създават мрежови сокети).
• Предоставена е възможност за динамична регистрация на плъгини с парсери на протоколи, детектори и компоненти за логиране по време на работа.
• Извършени са значителни оптимизации на производителността, които позволиха ускоряване на различни аспекти на работата на движка, включително определяне на протоколи, зареждане на правила и инициализация. Ускорението се постига чрез предсказване на преходи, оптимизация на хеш-функции, увеличаване на размера на буферите за зареждане на данни във формат PCAP и преработка на синхронизация на потоците. Също така е успяло да се намали времето за стартиране на Suricata, използвайки кеширане, разширена група от портове и подобрен алгоритъм за замяна на IP адреси.
• Преработени са обработчиците LibHTP, FTP, ENIP, както и кодът за парсване на MIME типове, операциите byte_extract и декодиране на base64 на езика Rust.
• Добавена е поддръжка за протоколите DoH (DNS over HTTPS), LDAP, mDNS (Multicast DNS) и Websocket.
• Добавени са нови модули за декодиране и логиране за протоколите ARP и POP3.
• Осигурено е парсване на трафика SDP върху SIP и SIP върху TCP.
• Разширени са възможностите на движка за определяне на протоколи и изграждане на правила. За правилата са реализирани ключови думи LDAP, MIME/EMAIL, vlan.id, DNS, SMTP, FTP, TLS, tcp.wscale, pgsql.query, from_base64, entropy, luaxform и mDNS. Добавени са транзакционни правила, които позволяват описание на двете направления на транзакцията в едно правило.

Характеристики на Suricata:

• • Използването на унифициран формат Unified2 за извеждане на резултатите от проверка, също използван от проекта Snort, което позволява използването на стандартни инструменти за анализ, като barnyard2. Възможност за интеграция с продуктите BASE, Snorby, Sguil и SQueRT. Поддръжка на извеждане във формат PCAP;
  • Поддръжка на автоматично разпознаване на протоколи (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и т.н.), позволяваща работа с правила само по тип на протокола, без зависимост от номер на порт (например, блокиране на HTTP трафик на нестандартен порт). Наличие на декодери за протоколи HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP, LDAP и SSH;
  • Система за анализ на HTTP трафик, използваща библиотеката HTP, създадена от автора на проекта Mod_Security, за разбиране и нормализиране на HTTP трафика. Достъпен е модул за водене на подробен лог на транзитни HTTP преноси (логът се съхранява в стандартния формат Apache). Поддържа извличане и проверка на файлове, предавани по протокол HTTP, както и разбиране на компресиран съдържание. Възможност за идентификация по URI, Cookie, заглавия, user-agent, тяло на заявката/отговора;
  • Поддръжка на различни интерфейси за прихващане на трафика, включително NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Възможен е анализ на вече запазени файлове в формат PCAP;
  • Висока производителност, способност да обработва потоци на обикновено оборудване с десетки гигабити в секунда.
  • Високопроизводителен механизъм за съпоставяне по маска с големи набори от IP адреси. Поддръжка на добив на съдържание по маска и регулярни изрази. Извличане на файлове от трафика, включително тяхната идентификация по име, тип или хеш.
  • Възможност за използване на променливи в правилата: може да се запази информация от потока и по-късно да се използва в други правила;
  • Използване на YAML формат в конфигурационните файлове, съчетаващ нагледност с леснота на машинна обработка;
  • Пълна поддръжка IPv6;
  • Вграден двигател за автоматична дефрагментация и преизграждане на пакети, позволяващ коректна обработка на потоковете, независимо от реда на получаване на пакетите;
  • Поддръжка на тунелни протоколи: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
  • Поддръжка на декодиране на пакети: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, ARP, PPPoE, Raw, SLL, VLAN;
  • Режим на водене на лог на ключове и сертификати, фигуриращи в връзки на база TLS;
  • Възможност за писане на скриптове на езика Lua за разширен анализ на трафика и реализиране на допълнителни функции, за които стандартните правила не са достатъчни.

Източник: opennet.ru