Налична е система за откриване на атаки Suricata 8.0

След две години разработка, Фондацията за отворена информационна сигурност (OISF) пусна версия 8.0 на системата за откриване и предотвратяване на прониквания в мрежата Suricata, която предоставя инструменти за проверка на различни видове трафик. Конфигурациите на Suricata поддържат използването на базата данни със сигнатури, разработена от проекта Snort, както и наборите от правила Emerging Threats и Emerging Threats Pro. Изходният код на проекта се разпространява под лиценз GPLv2.

Основни промени:

• Добавена е експериментална възможност за използване на Suricata като защитна стена. Режимът на защитна стена позволява използването на диалект на езика за правила за проверка на трафика за филтриране на мрежови пакети.
• Възможността за писане на скриптове на Lua е преработена. Интерпретаторът на Lua 5.4 е интегриран в кодовата база и работи в пясъчна среда, която ограничава правилата на Lua (например, правилата не могат да записват във файлове или да създават мрежови сокети).
• Предоставя се възможност за динамично (по време на изпълнение) регистриране на плъгини с анализатори на протоколи, детектори и компоненти за регистриране.
• Бяха внедрени значителни оптимизации на производителността, ускоряващи различни аспекти на двигателя, включително откриване на протоколи, зареждане на правила и инициализация. Тези подобрения бяха постигнати чрез прогнозиране на разклонения, оптимизация на хеш функцията, увеличени размери на буферите за зареждане на PCAP данни и преработка на синхронизацията на потоци. Времето за стартиране на Suricata също беше намалено чрез кеширане, разширено групиране на портове и подобрен алгоритъм за заместване на IP адреси.
• Обработчиците на LibHTP, FTP и ENIP, както и кодът за парсиране на MIME типове, операции byte_extract и base64 декодиране, са пренаписани в Rust.
• Добавена е поддръжка за протоколи DoH (DNS през HTTPS), LDAP, mDNS (Multicast DNS) и Websocket.
• Добавени са нови модули за декодиране и регистриране за ARP и POP3 протоколи.
• Осигурен е парсинг на SDP през SIP и SIP през TCP трафик.
• Механизмът за откриване на протоколи и изграждане на правила е разширен. Следните ключови думи вече се поддържат: LDAP, MIME/EMAIL, vlan.id, DNS, SMTP, FTP, TLS, tcp.wscale, pgsql.query, from_base64, entropy, luaxform и mDNS. Добавени са транзакционни правила, позволяващи и двете посоки на транзакциите да бъдат описани в едно правило.

Характеристики на Suricata:

• • Форматът Unified2, използван и от проекта Snort, се използва за извеждане на резултати от сканиране, което позволява използването на стандартни инструменти за анализ като barnyard2. Поддържа се интеграция с продуктите BASE, Snorby, Sguil и SQueRT. Поддържа се изход във формат PCAP;
  • Поддръжка за автоматично разпознаване на протоколи (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и др.), позволяваща правилата да работят единствено въз основа на типа протокол, без позоваване на номера на порта (например, блокиране на HTTP трафик на нестандартен порт). Наличие на декодери за HTTP протоколи, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP, LDAP и SSH;
  • Система за анализ на HTTP трафик, която използва HTP библиотеката, създадена от автора на проекта Mod_Security, за да анализира и нормализира HTTP трафика. Наличен е модул за поддържане на подробно регистриране на HTTP транзитни трансфери (регистрационният файл се запазва в стандартния Apache формат). Поддържа се извличане и проверка на файлове, прехвърляни чрез HTTP, както и анализиране на компресирано съдържание. Възможна е идентификация чрез URI, бисквитка, заглавки, потребителски агент и тяло на заявка/отговор.
  • Поддръжка на различни интерфейси за прихващане на трафик, включително NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Възможно е да се анализират вече записани файлове във формат PCAP;
  • Висока производителност, способност за обработка на потоци от десетки гигабита в секунда на конвенционално оборудване.
  • Високопроизводителен енджин за съпоставяне на маски за големи набори от IP адреси. Поддръжка за извличане на съдържание чрез маска и регулярни изрази. Извличане на файлове от трафик, включително идентифицирането им по име, тип или хеш.
  • Възможност за използване на променливи в правила: можете да запазвате информация от поток и по-късно да я използвате в други правила;
  • Използване на YAML формат в конфигурационни файлове, който съчетава яснота с лекота на машинна обработка;
  • Пълна подкрепа IPv6;
  • Вграден двигател за автоматично дефрагментиране и повторно сглобяване на пакети, което позволява да се осигури коректна обработка на потоците, независимо от реда, в който пристигат пакетите;
  • Поддръжка на тунелни протоколи: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
  • Поддръжка на декодиране на пакети: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, ARP, PPPoE, Raw, SLL, VLAN;
  • Режим на регистриране за ключове и сертификати, използвани в TLS-базирани връзки;
  • Възможността за писане на скриптове на Lua за разширен анализ на трафика и внедряване на допълнителни функции, за които стандартните правила са недостатъчни.

Източник: opennet.ru