Достъпни са анализаторът на трафик Zeek 8.0 и мрежовият сканер Nmap 7.98

Публикувана версия 8.0.0 на системата за анализ на трафик и откриване на мрежови нахлувания Zeek, която преди се е разпространявала под името Bro. Zeek представлява платформа за анализ на трафик, ориентирана основно към проследяване на събития, свързани със сигурността, но не се ограничава само до това приложение. Кодът на системата е написан на C++ и се разпространява под лиценз BSD.

Платформата предоставя модули за анализ и разбиране на различни мрежови протоколи на ниво приложения, вземащи предвид състоянието на връзките и позволяващи създаването на подробен журнал (архив) на мрежовата активност. Предлагат се домейн-ориентирани езици за писане на сценарии за мониторинг и откриване на аномалии, отчитащи спецификата на конкретни инфраструктури. Системата е оптимизирана за работа в мрежи с висока пропускна способност. Предоставя се API за интеграция с външни информационни системи и обмен на данни в реално време.

В новото издание на Zeek:

• Добавена е възможност за настройка на идентификаторите на мрежовия поток (Flow Tuple) чрез плъгини. За избягване на конфликти при разделяне на потоките в сложни мрежи, освен IP адреса, номера на портовете и протокола, сега може да се вземе предвид допълнителен контекст, като например VLAN тагове или идентификатори на инкапсулиран трафик за VXLAN и Geneve.
• Доведен до готовност за приложение в работни системи нов клъстерен бекенд, базиран на ZeroMQ, определящ метод за взаимодействие между узлите на кластера и формат за сериализация на данни. По подразбиране се продължава да се използва бекенд Broker, но в бъдеще е планиран преходът към бекенд ZeroMQ по подразбиране, който позволява работа без прокси при разпространение на широковещателни съобщения между узлите. Улеснено е събирането на телеметрия за работата на кластера, позволяваща проследяване на натоварването на узлите, независимо от използвания бекенд.
• Добавен е парсер за протокола на базата данни Redis и е осигурено водене на журнал на прихванатите операции.
• В анализатора SMTP е реализирана поддръжка за извличане от трафика на имейл съобщения (RFC 822) и тяхното предаване в анализатора на файлове, което може да се използва за запазване на прихванатите електронни писма на диска във формат .eml.
• В анализатора FTP е добавена поддръжка за разширението AUTH TLS.
• DNS анализаторът реализира разпознаване на NAPTR записи.
• В PPPoE анализаторът е добавена функция за извеждане на идентификатори на сесии.
• Вместо отделни лог файлове analyzer.log и dpd.log, използва се общ лог файл analyzer.log.
• Генераторът на парсери за анализ на протоколи и файлове е обновен до версия Spicy 1.14, която предлага нови оптимизации и осигурява премахване на неизползваемите параметри на функциите.
• Предоставена е възможност за промяна на формата на логовете, използвайки пакета logschema (например, може да се използва JSON или CSV вместо традиционни текстови логове).
• За компилация на проекта сега е необходим компилатор с поддръжка на стандарта C++20. Минимално поддържаните версии са GCC 10, Clang 8 и Visual Studio 2022.

Допълнително, пуснат е релийз на скенера за мрежова сигурност Nmap 7.98, предназначен за извършване на мрежов одит и откриване на активни мрежови услуги. Кодът на проекта се предоставя под лицензията NPSL (Nmap Public Source License), основана на GPLv2, която е допълнена с препоръки (не задължения) за използване на OEM лицензиране и придобиване на комерсиална лицензия, ако производителят не желае да разкрива кода на своя продукт в съответствие с изискванията на копилефт лицензията или планира да интегрира Nmap в продукти, несъвместими с GPL.

В Nmap 7.98 основно присъстват поправки на бъгове. Например, отстранени са аварийните окончания при използване на nmap с някои VPN-интерфейси. От функционалните промени се отличава добавянето на NSE обвивки за използване на функции libssh2 в скриптове за автоматизация на действия с Nmap. Оптимизирана е работата на DNS резолвера. В библиотеката tls.lua е добавена поддръжка на шифри, използвани в TLSv1.3, включително постквантови набори шифри. Обновени са версии на OpenSSL 3.0.17, Lua 5.4.8 и Npcap 1.83, използвани в готовите сборки.

Източник: opennet.ru