Достъпни са анализаторът на трафик Zeek 8.0 и мрежовият скенер Nmap 7.98

Обявен е релиз на системата за анализ на трафик и откриване на мрежови атаки Zeek 8.0.0, преди разпространявана под името Bro. Zeek представлява платформа за анализ на трафик, насочена предимно към проследяване на събития, свързани със сигурността, но не се ограничава само до това приложение. Кодът на системата е написан на C++ и се разпространява под лиценза BSD.

Платформата предоставя модули за анализ и разбиране на различни мрежови протоколи на ниво приложения, отчитат състоянието на връзките и позволяват оформянето на подробен журнал (архив) на мрежовата активност. Предлага се предметно-ориентиран език за написване на сценарии за мониторинг и откриване на аномалии, отчетливо на спецификата на конкретните инфраструктури. Системата е оптимизирана за работа в мрежи с висока пропускателна способност. Предоставя се API за интеграция с външни информационни системи и обмен на данни в реално време.

В новото издание Zeek:

• Добавена е възможността за настройка на идентификаторите на мрежовия поток (Flow Tuple) чрез плъгини. За да се изключат колизии при разделяне на потоците в сложни мрежи, освен IP адреси, номерата на портовете и протокола, вече може да се отчита допълнителен контекст, като например VLAN тагове или идентификатори на инкапсулиран трафик за VXLAN и Geneve.
• Подготвен е нов кластерен бекенд, базиран на ZeroMQ, който определя методите за взаимодействие между възлите на клъстера и формата на сериализация на данни. По подразбиране продължава да се използва бекендът Broker, но в бъдеще е планиран преход към бекенд ZeroMQ по подразбиране, който позволява да се заобиколи прокси при разпространение на широковещателни съобщения между възлите. Успешно е опростено събирането на телеметрия за работата на клъстера, позволяваща проследяване на натоварването на възлите, независимо от използвания бекенд.
• Добавен е парсер за протокола на СУБД Redis и е осигурено водене на лог на прихванатите операции.
• В анализатора SMTP е реализирана поддръжка за извличане на имейл съобщения от трафика (RFC 822) и тяхната предаване на анализатора на файлове, което може да се използва за съхранение на прихванати електронни писма на диска във формат .eml.
• В анализатора FTP е добавена поддръжка за разширение AUTH TLS.
• В DNS анализаторе е реализирано разпознаване на NAPTR записи.
• В PPPoE анализатора е добавена възможността за извеждане на идентификатори на сесии.
• Вместо отделните логове analyzer.log и dpd.log, сега се използва общ лог analyzer.log.
• Генераторът на парсери за разбиране на протоколи и файлове е обновен до версия Spicy 1.14, която предлага нови оптимизации и осигурява премахване на неизползваеми параметри на функции.
• Предоставена е възможността за промяна на формата на логовете, използвайки пакета logschema (например, можете да използвате JSON или CSV вместо традиционните текстови логове).
• За изграждане на проекта сега е необходим компилатор с поддръжка на C++20 стандарт. Минимално поддържаните версии са GCC 10, Clang 8 и Visual Studio 2022.

Допълнително можем да споменем излизането на скенера за мрежова безопасност Nmap 7.98, предназначен за извършване на мрежови одити и идентифициране на активни мрежови услуги. Кодът на проекта е предоставен под лиценз NPSL (Nmap Public Source License), базиран на GPLv2, който е допълнен с насоки (не изисквания) относно използването на програмата за OEM лицензиране и закупуването на търговски лиценз, ако производителят не желае да разкрива кода на продукта си в съответствие с изискванията на лиценза за копилефт или планира да интегрира Nmap в продукти, несъвместими с GPL.

В версия Nmap 7.98 основно присъстват поправки на грешки. Например, са отстранени аварийните прекратявания при използването на nmap с някои VPN-интерфейси. Сред функционалните промени се откроява добавянето на NSE обвивки за използване на функции libssh2 в автоматизационни скриптове с Nmap. Оптимизирана е работата на DNS резолвера. В библиотеката tls.lua е добавена поддръжка на шифри, използвани в TLSv1.3, включително постквантови набори шифри. Обновени са версиите на OpenSSL 3.0.17, Lua 5.4.8 и Npcap 1.83, използвани в готовите пакети.

Източник: opennet.ru