Пуснат Zeek Traffic Analyzer 3.0.0

Седем години след формирането на последния значим клон представени пускане на системата за анализ на трафика и откриване на проникване в мрежата Zeek 3.0.0 , разпространяван преди под името Bro. Това е първото значително издание оттогава преименуване на проекта, извършено, защото името Bro се свързваше с едноименната маргинална субкултура, а не като намек за замисления от авторите „големия брат“ от романа на Джордж Оруел „1984“. Системният код е написан на C++ и разпространява се от под лиценз BSD.

Zeek е платформа за анализ на трафика, фокусирана основно върху, но не само, наблюдение на събития, свързани със сигурността. Предвидени са модули за анализиране и анализиране на различни мрежови протоколи на ниво приложение, като се отчита състоянието на връзките и позволява формирането на подробен дневник (архив) на мрежовата активност. Предлага се домейн-специфичен език за писане на скриптове за наблюдение и откриване на аномалии, като се вземат предвид спецификите на конкретни инфраструктури. Системата е оптимизирана за използване в мрежи с висока честотна лента. Предоставен е API за интеграция с информационни системи на трети страни и обмен на данни в реално време.

В ново издание:

• Анализаторът за NTP протокола е напълно пренаписан и е добавен нов анализатор за MQTT. Разширени възможности за анализатор за DNS, RDP, SMB и TLS. За DNS, SPF записите се анализират, а за DNSSEC, RRSIG, DNSKEY, DS, NSEC и NSEC3 записите се анализират и свързаните с тях събития се маркират. Добавена е поддръжка за протокола SMB 3.x към SMB анализатора и за TLS, поддръжка за TLS 1.3;
• Реализирана поддръжка за декапсулиране на потоци, предавани във VXLAN тунели;
• Добавена е поддръжка за връзки с тип NFLOG;
• Добавена е възможност за запазване на извлечените данни в дневника в UTF8 кодиране;
• Добавена е поддръжка за затваряния за анонимни функции към скриптовия език, добавен оператор за итерация на таблица ключ-стойност ("for ( ключ, стойност в t)"), внедрени операции за разделяне на вектори в стил Python ("v[2:4]") , предложи нова параглобална структура за бързо съпоставяне на низови маски в големи набори от двоични данни;
• Всички препратки към името „bro“ във файлови пътища, настройки, пакети, скриптове, пространства от имена и функции са променени на „zeek“ (старите имена се поддържат за обратна съвместимост). Мениджърът на пакети bro-pkg е преименуван на zkg.

Източник: opennet.ru