Налична е система за откриване на атаки Suricata 5.0

Организация OISF (Фондация за отворена информационна сигурност) публикувано пускане на система за откриване и предотвратяване на проникване в мрежата Meerkat 5.0, който предоставя средство за проверка на различни видове трафик. В конфигурации Suricata е допустимо да се използва бази за подписи, разработен от проекта Snort, както и набори от правила Възникващи заплахи и Emerging Threats Pro. Изходният код на проекта разпространение лицензиран под GPLv2.

Основни промени:

• Въведени са нови модули за парсиране и регистриране за протоколи
  RDP, SNMP и SIP, написани на Rust. Възможността за влизане през подсистемата EVE, която осигурява извеждане на събития във формат JSON, е добавена към модула за парсиране на FTP;

• В допълнение към поддръжката за метода за удостоверяване на клиента JA3 TLS, въведен в последната версия, поддръжка за метода JA3S, позволявайки въз основа на спецификата на преговорите за връзка и посочените параметри, определете кой софтуер се използва за установяване на връзка (например, позволява ви да определите използването на Tor и други типични приложения). JA3 дава възможност за дефиниране на клиенти, а JA3S - на сървъри. Резултатите от определянето могат да се използват в езика за настройка на правилата и в регистрационните файлове;
• Добавена е експериментална способност за съпоставяне с извадка от големи масиви от данни, реализирана с помощта на нови операции набор от данни и datarep. Например, функцията е приложима за търсене на маски в големи черни списъци с милиони записи;
• Режимът на проверка на HTTP осигурява пълно покритие на всички ситуации, описани в тестовия пакет HTTP Evader (например обхваща техники, използвани за скриване на злонамерена дейност в трафика);
• Инструментите за разработка на модул Rust са преместени от опции към задължителни стандартни функции. В бъдеще се планира да се разшири използването на Rust в кодовата база на проекта и постепенно да се заменят модулите с аналози, разработени в Rust;
• Механизмът за откриване на протоколи е подобрен по отношение на точността и обработката на асинхронни потоци от трафик;
• Добавена е поддръжка към регистрационния файл на EVE за нов тип запис, "аномалия", който съхранява нетипични събития, които се откриват при декодиране на пакети. EVE също разшири показването на информация за VLAN и интерфейси за улавяне на трафик. Добавена опция за запазване на всички HTTP заглавки в http записи в дневника на EVE;
• Базираните на eBPF манипулатори осигуряват поддръжка за хардуерни механизми за ускоряване на улавянето на пакети. Хардуерното ускорение в момента е ограничено до мрежови адаптери Netronome, но скоро ще се появи и за друго оборудване;
• Пренаписан код за улавяне на трафик с помощта на Netmap framework. Добавена е възможност за използване на разширени функции на Netmap, като виртуален превключвател VALE;
• Добавено от поддръжка за нова схема за дефиниране на ключови думи за Sticky Buffers. Новата схема е дефинирана във формат protocol.buffer, например, за интроспекция на URI, ключовата дума ще бъде "http.uri" вместо "http_uri";
• Всички използвани кодове на Python са тествани за съвместимост с
  Python3;

• Поддръжката за архитектурата на Tilera, текстовия журнал dns.log и стария журнал files-json.log е преустановена.

Характеристики на Suricata:

• Използване на унифициран формат за показване на резултатите от валидирането унифициран2, също използван от проекта Snort, позволяващ използването на стандартни инструменти за анализ като хамбар2. Възможност за интегриране с BASE, Snorby, Sguil и SQueRT продукти. Поддръжка за извеждане в PCAP формат;
• Поддръжка за автоматично откриване на протоколи (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и т.н.), което ви позволява да работите в правилата само по типа на протокола, без позоваване на номера на порта (например , за блокиране на HTTP трафик на нестандартен порт) . Декодери за HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP и SSH протоколи;
• Мощна система за анализ на HTTP трафик, която използва специална HTP библиотека, създадена от автора на проекта Mod_Security, за анализиране и нормализиране на HTTP трафик. Наличен е модул за поддържане на подробен дневник на транзитните HTTP трансфери, като дневникът се записва в стандартен формат
  Apache. Поддържа се извличане и проверка на файлове, прехвърлени чрез HTTP протокол. Поддръжка за анализиране на компресирано съдържание. Възможност за идентифициране чрез URI, бисквитка, заглавки, потребителски агент, тяло на заявка/отговор;

• Поддръжка на различни интерфейси за прихващане на трафик, включително NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Възможно е да се анализират вече записани файлове във формат PCAP;
• Висока производителност, възможност за обработка на потоци до 10 гигабита / сек на конвенционално оборудване.
• Високопроизводителна машина за съвпадение на маска с големи набори от IP адреси. Поддръжка за избор на съдържание чрез маска и регулярни изрази. Разделяне на файлове от трафик, включително идентифицирането им по име, тип или MD5 контролна сума.
• Възможност за използване на променливи в правила: можете да запазите информация от потока и по-късно да я използвате в други правила;
• Използване на YAML формата в конфигурационните файлове, което ви позволява да поддържате видимост с лесна машинна обработка;
• Пълна поддръжка на IPv6;
• Вграден двигател за автоматично дефрагментиране и повторно сглобяване на пакети, което позволява да се осигури коректна обработка на потоците, независимо от реда, в който пристигат пакетите;
• Поддръжка на тунелни протоколи: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
• Поддръжка на декодиране на пакети: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
• Режим на регистриране за ключове и сертификати, които се появяват в рамките на TLS/SSL връзки;
• Възможността за писане на Lua скриптове за предоставяне на разширен анализ и внедряване на допълнителни функции, необходими за идентифициране на типове трафик, за които стандартните правила не са достатъчни.

Източник: opennet.ru