Достъпна е системата за откриване на атаки Suricata 8.0

След две години разработка, организацията OISF (Open Information Security Foundation) публикува версия на системата за откриване и предотвратяване на мрежови атаки Suricata 8.0, която осигурява средства за инспектиране на различни видове трафик. В конфигурациите на Suricata е възможно използването на база сигнатури, развивана от проекта Snort, както и набори от правила Emerging Threats и Emerging Threats Pro. Изходните файлове на проекта са под лиценз GPLv2.

Основни промени:

• Добавена е експериментална възможност за използване на Suricata като защитна стена. Режимът на защитна стена позволява използването на диалект на езика за правила за инспектиране на трафик за филтриране на мрежови пакети.
• Преработена е възможността за писане на скриптове на езика Lua. В кодовата база е интегриран интерпретатор на Lua 5.4, изпълняван в sandbox-окръжение, което ограничава правилата на езика Lua (например, от правилата не може да се записва в файлове или да се създават мрежови сокети).
• Предоставена е възможност за динамична (по време на работа) регистрация на плъгини с парсери на протоколи, детектори и компоненти за водене на логове.
• Направени са значителни оптимизации на производителността, които ускориха различни аспекти от работата на движка, включително определянето на протоколи, зареждането на правила и инициализацията. Ускорението се постига чрез предсказание на преходи, оптимизация на хеш-функции, увеличаване на размера на буферите за зареждане на данни в формат PCAP и преосмисляне на синхронизацията на потоките. Също така е успяно да се скъси времето за стартиране на Suricata, използвайки кеширане, разширена групировка на портове и подобрена алгоритъм за подмяна на IP адреси.
• Обработките на LibHTP, FTP, ENIP, както и кодът за разбиране на MIME-типове, операции byte_extract и декодиране на base64 са преписани на езика Rust.
• Добавена е поддръжка за протоколи DoH (DNS over HTTPS), LDAP, mDNS (Multicast DNS) и Websocket.
• Добавени са нови модули за декодиране и водене на логове за протоколите ARP и POP3.
• Осигурен е анализ на трафика SDP над SIP и SIP над TCP.
• Разширени са възможностите на движка за определяне на протоколи и генериране на правила. За правилата са реализирани ключови думи LDAP, MIME/EMAIL, vlan.id, DNS, SMTP, FTP, TLS, tcp.wscale, pgsql.query, from_base64, entropy, luaxform и mDNS. Добавени са транзакционни правила, позволяващи описването на двете посоки на транзакцията в едно правило.

Характеристики на Suricata:

• • Използване за извеждане на резултатите от проверките в унифицирания формат Unified2, също използван от проекта Snort, което позволява използването на стандартни инструменти за анализ, като barnyard2. Възможност за интеграция с продуктите BASE, Snorby, Sguil и SQueRT. Поддръжка за извеждане във формат PCAP;
  • Поддръжка на автоматично разпознаване на протоколи (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и т.н.), позволяваща работа с правилата само по тип протокол, без обвързване със номер на порт (например, блокиране на HTTP трафик на нестандартен порт). Наличие на декодери за протоколите HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP, LDAP и SSH;
  • Система за анализ на HTTP трафик, използваща библиотеката HTP, създадена от автора на проекта Mod_Security, за разбиране и нормализиране на HTTP трафик. Достъпен е модул за водене на подробен лог на транзитните HTTP прехвърляния (логът се запазва в стандартен формат на Apache). Поддържа се извличане и проверка на файлове, предавани по протокол HTTP, както и разбиране на компресирано съдържание. Възможност за идентификация по URI, Cookie, заглавия, user-agent, тяло на заявката/отговора;
  • Поддръжка на различни интерфейси за прихващане на трафик, включително NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Възможен е анализ на вече запазени файлове в формат PCAP;
  • Висока производителност, способност да обработва потоци от десетки гигабити в секунда на обикновено оборудване.
  • Високопроизводителен механизъм за съпоставяне по маска с големи набори от IP адреси. Поддръжка за извличане на съдържание по маска и регулярни изрази. Извличане на файлове от трафик, включително тяхната идентификация по име, тип или хеш.
  • Възможност за използване на променливи в правилата: може да се запази информация от потока и да се използва по-късно в други правила;
  • Използване на формат YAML в конфигурационните файлове, съчетаващ визуалност с лесна машинна обработка;
  • Пълна поддръжка IPv6;
  • Вграден двигател за автоматична дефрагментация и повторно сглобяване на пакети, позволяващ коректна обработка на потоците, независимо от реда на постъпване на пакетите;
  • Поддръжка на тунелни протоколи: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
  • Поддръжка на декодиране на пакети: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, ARP, PPPoE, Raw, SLL, VLAN;
  • Режим на водене на логове на ключове и сертификати, фигуриращи в TLS свързвания;
  • Възможност за написване на скриптове на езика Lua за разширен анализ на трафика и реализиране на допълнителни функции, за които стандартните правила не са достатъчни.

Източник: opennet.ru