Издание на системата за откриване на атаки Suricata 6.0

След година разработка, организация OISF (Open Information Security Foundation) е публикувала издание на системата за откриване и предотвратяване на мрежови нахлувания Suricata 6.0, която предоставя средства за инспектиране на различни видове трафик. В конфигурациите на Suricata е допустимо използването на база с сигнатури, разработвана от проекта Snort, както и набори с правила Emerging Threats и Emerging Threats Pro. Изходните кодове на проекта се разпространява под лицензия GPLv2.

Основни промени:

• Начална поддръжка на HTTP/2.
• Поддръжка на протоколите RFB и MQTT, включително възможността за определяне на протокола и водене на лог.
• Възможност за водене на лог за протокола DCERPC.
• Значително повишаване на производителността на логването чрез подсистемата EVE, която осигурява изход на събития в JSON формат. Ускорението е постигнато благодарение на новия JSON пакер, написан на Rust.
• Повишена мащабируемост на системата за логове EVE и реализирана възможност за водене на отделен лог-файл за всеки поток.
• Възможност за определяне на условия за нулиране на информацията в лог.
• Възможност за отразяване на MAC адреси в логовете на EVE и повишаване на детайлността на логовете на DNS.
• Повишена производителност на обработвача на потоци (flow engine).
• Поддръжка на идентификация на реализации на SSH (HASSH).
• Реализация на декодер за тунели GENEVE.
• Кодът за обработка на ASN.1, DCERPC и SSH е пренаписан на Rust. Също така е реализирана поддръжка на нови протоколи.
• В езика за определяне на правила в ключовата дума byte_jump е добавена поддръжка на параметъра from_end, а в byte_test — параметър bitmask. Реализирано е ключовото слово pcrexform, позволяващо използването на регулярни изрази (pcre) за улов на подстринг. Добавено е преобразуване на urldecode. Добавено е ключовото слово byte_math.
• Предоставяне на възможност за използване на cbindgen за генериране на свързвания на езици Rust и C.
• Добавена е начална поддръжка на плъгини.

Характеристики на Suricata:

• Използване на унифициран формат за изход на резултатите от проверката Unified2, който също се използва от проекта Snort, позволяващ използването на стандартни инструменти за анализ, като barnyard2. Възможност за интеграция с продуктите BASE, Snorby, Sguil и SQueRT. Поддръжка на изход в формат PCAP;
• Поддръжка на автоматично определяне на протоколи (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и др.), позволяваща работа в правилата само с типа на протокола, без привързване към номер на порт (например, блокиране на HTTP трафик на нестандартен порт). Наличие на декодери за протоколи HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP и SSH;
• Мощна система за анализ на HTTP трафика, използваща специална библиотека HTP, създадена от автора на проекта Mod_Security, за разбиране и нормализиране на HTTP трафика. Достъпен е модул за водене на подробен лог на транзитните HTTP препратки, логът се запазва в стандартен формат
  Apache. Поддържа извличане и проверка на файлове, предавани чрез протокола HTTP. Поддръжка на разбиране на компресиран контент. Възможност за идентификация по URI, Cookie, заглавия, user-agent, тялото на заявката/отговора;
• Поддръжка на различни интерфейси за прихващане на трафика, включително NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Възможен е анализ на вече запазени файлове в формат PCAP;
• Висока производителност, способност за обработка на потоци до 10 гигабита/сек. на обикновено оборудване.
• Високопродуктивен механизъм за съпоставяне по маска с големи набори от IP адреси. Поддръжка на извличане на съдържание по маска и регулярни изрази. Извличане на файлове от трафика, включително тяхната идентификация по име, тип или контролна сума MD5.
• Възможност за използване на променливи в правилата: можете да запазите информация от потока и по-късно да я използвате в други правила;
• Използване на формат YAML в конфигурационните файлове, което позволява да се запази прегледността при лесна машинна обработка;
• Пълна поддръжка на IPv6;
• Вграден двигател за автоматична дефрагментация и преизграждане на пакети, позволяващ коректна обработка на потоковете, независимо от реда на получаване на пакетите;
• Поддръжка на тунелиращи протоколи: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
• Поддръжка на декодиране на пакети: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
• Режим на водене на лог за ключовете и сертификатите, участващи в рамките на TLS/SSL връзките;
• Възможност за написване на скриптове на езика Lua за осигуряване на разширен анализ и реализиране на допълнителни функции, нужни за определяне на видове трафик, за които стандартните правила не са достатъчни.

Източник: opennet.ru