Издание на мрежовите анализатори Wireshark 4.4.0 и Zeek 7.0.0

Публикуван е релиз на новата стабилна версия на мрежовия анализатор Wireshark 4.4. Програмата поддържа над хиляда мрежови протокола и десетки формата за улавяне на трафик. Предоставя гъвкав интерфейс за създаване на филтри, улавяне на трафик, анализ на запазени дампове и инспектиране на пакети. Поддържат се разширени възможности като реконструиране на реда на пакетите, извличане и запазване на съдържанието на файлове, предавани чрез различни протоколи, възпроизвеждане на VoIP и RTP потоци, декриптиране на IPsec, ISAKMP, Kerberos, SNMPv3, SSL/TLS, WEP и WPA/WPA2. Кодът на проекта се разпространява под лицензия GPLv2.

Ключови нововъведения в Wireshark 4.4.0:

• Добавена е поддръжка за автоматично превключване на профили с настройки. Потребителят може да свърже филтър за показване с профил и при отваряне на файл с улавян трафик, който попада под филтъра, автоматично ще бъде активиран свързаният с него профил.
• Добавена е поддръжка за Lua 5.3 и 5.4. Поддръжката на Lua 5.1 и 5.2 е прекратена.
• В филтрите за показване е подобрена поддръжката на стрингови стойности (появи се възможност за стрингова представа на числови полета).
• Предоставена е възможност за определяне на функция на филтъра под формата на плъгини, подобно на парсерите за файлове и модулите за разбиране на протоколи.
• Добавена операция «Edit > Copy > Display filter as pcap filter» за преобразуване на филтрите за показване в pcap-филтри с еквивалентни полета.
• Подобрени са много графични диалози, модернизирани са графики на вход/изход, потоци трафик, VoIP разговори и TCP потоци.
• Разрешено е определянето на собствени колони, за изграждането на които могат да се използват всякакви операции с полета (функции на филтри, аритметични изчисления, логически операции, модификатори на протоколите и т.н.).
• Позволено е определянето на собствени изходни полета за «tshark -e», използвайки операции върху наличните полета.
• Добавена е поддръжка за компилация с библиотеката zlib-ng вместо zlib за работа с компресирани файлове.
• Добавена е поддръжка на протоколи и формати:
  • Allied Telesis Resiliency Link (AT RL),
  • ATN Security Label,
  • Bit Index Explicit Replication (BIER),
  • Bus Mirroring Protocol,
  • EGNOS Message Server (EMS),
  • Galileo E1-B I/NAV,
  • IBM i RDMA Endpoint (iRDMA-EDP),
  • IWBEMSERVICES, MAC NR Framed (mac-nr-framed),
  • Matter Bluetooth Transport Protocol (MatterBTP),
  • MiWi P2P Star,
  • Monero,
  • NMEA 0183,
  • PLDM,
  • RDP authentication redirection virtual channel protocol (rdpear),
  • RF4CE Network Layer (RF4CE),
  • RF4CE Profile (RF4CE Profile),
  • RK512, SAP Remote Function Call (SAPRFC),
  • SBAS L1 навигационно съобщение,
  • Scanner Access Now Easy (SANE),
  • TREL,
  • WMIO,
  • ZeroMQ протокол за транспорт на съобщения (ZMTP).
• Устранена уязвимост (CVE-2024-8250), водеща до аварийно приключване при обработка на специално оформени пакети.

Допълнително може да се отбележи издаването на системата за анализ на трафика и откриване на мрежови атаки Zeek 7.0.0, преди това известна като Bro. Zeek представлява платформа за анализ на трафика, основно насочена към проследяване на събития, свързани с безопасността, но не ограничаваща се само до това приложение. Платформата Zeek предлага модули за анализ и интерпретация на различни мрежови протоколи, приспособявайки се към състоянието на връзките и позволявайки формирането на подробен журнал (архив) на мрежовата активност. Предлага се предметно-ориентиран език за писане на сценарии за мониторинг и откриване на аномалии с оглед на спецификата на конкретната инфраструктура. Системата е оптимизирана за работа в мрежи с висока пропусквателна способност. Предоставя се API за интеграция с външни информационни системи и обмен на данни в реално време. Кодът на системата е написан на C++ и се разпространява под лиценза BSD.

В новото издание на Zeek:

• Преработен е фреймворка за Telemetry, използван за натрупване и експортиране на статистики (например, брой отворени връзки и интензивност на запитванията). Вместо агрегиране на метрики на крайни възли с тяхното пренасочване към отделен управляващ възел, в новата версия е внедрен механизъм за откриване на услуги, базиран на Prometheus, за събиране на метрики от възлите.
• Генераторът на парсери за разбиране на протоколи и файлове е обновен до версия Spicy 1.11, в която е променено представянето на кода в паметта, повишена е надеждността на работа, подобрена е обработката на загуба на пакети, разширена е поддръжката на битови полета и е ускорена работата (за някои протоколи увеличението на производителността достига 30%).
• Добавена е поддръжка за движка за оптимизация на скриптове ZAM (Zeek Abstract Machine), позволяваща повишаване на производителността на Zeek скриптовете чрез компилиране на възли от синтактичното дърво в по-ефективно изпълнима нискоуровнева форма.
• Предложени са нови анализатори за протоколите QUIC и LDAP, изградени с помощта на генератора на парсери Spicy.
• Осигурена е коректна обработка на прехвърлянето към по-нови версии на протокола HTTP.
• Подобрено е анализирането на WebSocket.
• Добавена е поддръжка за отложено записване в логовете.

Източник: opennet.ru