Выпуск Π°Π½Π°Π»ΠΈΠ·Π°Ρ‚ΠΎΡ€Π° Ρ‚Ρ€Π°Ρ„ΠΈΠΊΠ° Zeek 3.0.0

Бпустя сСмь Π»Π΅Ρ‚ с ΠΌΠΎΠΌΠ΅Π½Ρ‚Π° формирования ΠΏΡ€ΠΎΡˆΠ»ΠΎΠΉ Π·Π½Π°Ρ‡ΠΈΡ‚Π΅Π»ΡŒΠ½ΠΎΠΉ Π²Π΅Ρ‚ΠΊΠΈ прСдставлСн Ρ€Π΅Π»ΠΈΠ· систСмы Π°Π½Π°Π»ΠΈΠ·Π° Ρ‚Ρ€Π°Ρ„ΠΈΠΊΠ° ΠΈ выявлСния сСтСвых Π²Ρ‚ΠΎΡ€ΠΆΠ΅Π½ΠΈΠΉ Zeek 3.0.0 , Ρ€Π°Π½Π΅Π΅ Ρ€Π°ΡΠΏΡ€ΠΎΡΡ‚Ρ€Π°Π½ΡΠ²ΡˆΠ΅ΠΉΡΡ ΠΏΠΎΠ΄ ΠΈΠΌΠ΅Π½Π΅ΠΌ Bro. Π­Ρ‚ΠΎ ΠΏΠ΅Ρ€Π²Ρ‹ΠΉ Π·Π½Π°Ρ‡ΠΈΡ‚Π΅Π»ΡŒΠ½Ρ‹ΠΉ выпуск послС пСрСимСнования ΠΏΡ€ΠΎΠ΅ΠΊΡ‚Π°, ΡΠΎΠ²Π΅Ρ€ΡˆΡ‘Π½Π½ΠΎΠ³ΠΎ Ρ‚Π°ΠΊ ΠΊΠ°ΠΊ имя Bro Π°ΡΡΠΎΡ†ΠΈΠΈΡ€ΠΎΠ²Π°Π»ΠΎΡΡŒ с ΠΎΠ΄Π½ΠΎΠΈΠΌΡ‘Π½Π½ΠΎΠΉ ΠΌΠ°Ρ€Π³ΠΈΠ½Π°Π»ΡŒΠ½ΠΎΠΉ ΡΡƒΠ±ΠΊΡƒΠ»ΡŒΡ‚ΡƒΡ€ΠΎΠΉ, Π° Π½Π΅ ΠΊΠ°ΠΊ Π·Π°Π΄ΡƒΠΌΠ°Π½Π½Ρ‹ΠΉ Π°Π²Ρ‚ΠΎΡ€Π°ΠΌΠΈ Π½Π°ΠΌΡ‘ΠΊ Π½Π° «Π±ΠΎΠ»ΡŒΡˆΠΎΠ³ΠΎ Π±Ρ€Π°Ρ‚Π°» ΠΈΠ· Ρ€ΠΎΠΌΠ°Π½Π° Π”ΠΆΠΎΡ€Π΄ΠΆΠ° ΠžΡ€ΡƒΡΠ»Π»Π° «1984». Код систСмы написан Π½Π° языкС Π‘++ ΠΈ распространяСтся ΠΏΠΎΠ΄ Π»ΠΈΡ†Π΅Π½Π·ΠΈΠ΅ΠΉ BSD.

Zeek прСдставляСт собой ΠΏΠ»Π°Ρ‚Ρ„ΠΎΡ€ΠΌΡƒ для Π°Π½Π°Π»ΠΈΠ·Π° Ρ‚Ρ€Π°Ρ„ΠΈΠΊΠ°, ΠΎΡ€ΠΈΠ΅Π½Ρ‚ΠΈΡ€ΠΎΠ²Π°Π½Π½ΡƒΡŽ Π² ΠΏΠ΅Ρ€Π²ΡƒΡŽ ΠΎΡ‡Π΅Ρ€Π΅Π΄ΡŒ Π½Π° отслСТиваниС событий, связанных с Π±Π΅Π·ΠΎΠΏΠ°ΡΠ½ΠΎΡΡ‚ΡŒΡŽ, Π½ΠΎ Π½Π΅ ΠΎΠ³Ρ€Π°Π½ΠΈΡ‡ΠΈΠ²Π°ΡŽΡ‰ΡƒΡŽΡΡ этим ΠΏΡ€ΠΈΠΌΠ΅Π½Π΅Π½ΠΈΠ΅ΠΌ. ΠŸΡ€Π΅Π΄ΠΎΡΡ‚Π°Π²Π»ΡΡŽΡ‚ΡΡ ΠΌΠΎΠ΄ΡƒΠ»ΠΈ для Π°Π½Π°Π»ΠΈΠ·Π° ΠΈ Ρ€Π°Π·Π±ΠΎΡ€Π° Ρ€Π°Π·Π»ΠΈΡ‡Π½Ρ‹Ρ… сСтСвых ΠΏΡ€ΠΎΡ‚ΠΎΠΊΠΎΠ»ΠΎΠ² уровня ΠΏΡ€ΠΈΠ»ΠΎΠΆΠ΅Π½ΠΈΠΉ, ΡƒΡ‡ΠΈΡ‚Ρ‹Π²Π°ΡŽΡ‰ΠΈΠ΅ состояниС соСдинСний ΠΈ ΠΏΠΎΠ·Π²ΠΎΠ»ΡΡŽΡ‰ΠΈΠ΅ Ρ„ΠΎΡ€ΠΌΠΈΡ€ΠΎΠ²Π°Ρ‚ΡŒ ΠΏΠΎΠ΄Ρ€ΠΎΠ±Π½Ρ‹ΠΉ ΠΆΡƒΡ€Π½Π°Π» (Π°Ρ€Ρ…ΠΈΠ²) сСтСвой активности. ΠŸΡ€Π΅Π΄Π»Π°Π³Π°Π΅Ρ‚ΡΡ ΠΏΡ€Π΅Π΄ΠΌΠ΅Ρ‚Π½ΠΎ-ΠΎΡ€ΠΈΠ΅Π½Ρ‚ΠΈΡ€ΠΎΠ²Π°Π½Π½Ρ‹ΠΉ язык для написания сцСнариСв ΠΌΠΎΠ½ΠΈΡ‚ΠΎΡ€ΠΈΠ½Π³Π° ΠΈ выявлСния Π°Π½ΠΎΠΌΠ°Π»ΠΈΠΉ с ΡƒΡ‡Ρ‘Ρ‚ΠΎΠΌ спСцифики ΠΊΠΎΠ½ΠΊΡ€Π΅Ρ‚Π½Ρ‹Ρ… инфраструктур. БистСма ΠΎΠΏΡ‚ΠΈΠΌΠΈΠ·ΠΈΡ€ΠΎΠ²Π°Π½Π° для использования Π² сСтях с большой пропускной ΡΠΏΠΎΡΠΎΠ±Π½ΠΎΡΡ‚ΡŒΡŽ. ΠŸΡ€Π΅Π΄ΠΎΡΡ‚Π°Π²Π»ΡΠ΅Ρ‚ΡΡ API для ΠΈΠ½Ρ‚Π΅Π³Ρ€Π°Ρ†ΠΈΠΈ со сторонними ΠΈΠ½Ρ„ΠΎΡ€ΠΌΠ°Ρ†ΠΈΠΎΠ½Π½Ρ‹ΠΌΠΈ систСмами ΠΈ ΠΎΠ±ΠΌΠ΅Π½Π° Π΄Π°Π½Π½Ρ‹ΠΌΠΈ Π² Ρ€Π΅ΠΆΠΈΠΌΠ΅ Ρ€Π΅Π°Π»ΡŒΠ½ΠΎΠ³ΠΎ Π²Ρ€Π΅ΠΌΠ΅Π½ΠΈ.

Π’ Π½ΠΎΠ²ΠΎΠΌ выпускС:

  • ΠŸΠΎΠ»Π½ΠΎΡΡ‚ΡŒΡŽ пСрСписан Π°Π½Π°Π»ΠΈΠ·Π°Ρ‚ΠΎΡ€ для ΠΏΡ€ΠΎΡ‚ΠΎΠΊΠΎΠ»Π° NTP ΠΈ Π΄ΠΎΠ±Π°Π²Π»Π΅Π½ Π½ΠΎΠ²Ρ‹ΠΉ Π°Π½Π°Π»ΠΈΠ·Π°Ρ‚ΠΎΡ€ для MQTT. Π Π°ΡΡˆΠΈΡ€Π΅Π½Ρ‹ возмоТности Π°Π½Π°Π»ΠΈΠ·Π°Ρ‚ΠΎΡ€ΠΎΠ² для DNS, RDP, SMB ΠΈ TLS. Для DNS обСспСчСн Ρ€Π°Π·Π±ΠΎΡ€ записСй SPF, Π° для DNSSEC — RRSIG, DNSKEY, DS, NSEC ΠΈ NSEC3 ΠΈ Π²Ρ‹Π΄Π΅Π»Π΅Π½ΠΈΠ΅ связанных с Π½ΠΈΠΌΠΈ событий. Π’ Π°Π½Π°Π»ΠΈΠ·Π°Ρ‚ΠΎΡ€ SMB Π΄ΠΎΠ±Π°Π²Π»Π΅Π½Π° ΠΏΠΎΠ΄Π΄Π΅Ρ€ΠΆΠΊΠ° ΠΏΡ€ΠΎΡ‚ΠΎΠΊΠΎΠ»Π° SMB 3.x, Π° для TLS ΠΏΠΎΠ΄Π΄Π΅Ρ€ΠΆΠΊΠ° TLS 1.3;
  • Π Π΅Π°Π»ΠΈΠ·ΠΎΠ²Π°Π½Π° ΠΏΠΎΠ΄Π΄Π΅Ρ€ΠΆΠΊΠ° дСинкапсуляции ΠΏΠΎΡ‚ΠΎΠΊΠΎΠ², ΠΏΠ΅Ρ€Π΅Π΄Π°Π²Π°Π΅ΠΌΡ‹Ρ… Π²Π½ΡƒΡ‚Ρ€ΠΈ Ρ‚ΡƒΠ½Π½Π΅Π»Π΅ΠΉ VXLAN;
  • Π”ΠΎΠ±Π°Π²Π»Π΅Π½Π° ΠΏΠΎΠ΄Π΄Π΅Ρ€ΠΆΠΊΠ° Π»ΠΈΠ½ΠΊΠΎΠ² с Ρ‚ΠΈΠΏΠΎΠΌ NFLOG;
  • Π”ΠΎΠ±Π°Π²Π»Π΅Π½Π° Π²ΠΎΠ·ΠΌΠΎΠΆΠ½ΠΎΡΡ‚ΡŒ сохранСния Π² Π»ΠΎΠ³Π΅ ΠΈΠ·Π²Π»Π΅Ρ‡Ρ‘Π½Π½Ρ‹Ρ… Π΄Π°Π½Π½Ρ‹Ρ… Π² ΠΊΠΎΠ΄ΠΈΡ€ΠΎΠ²ΠΊΠ΅ UTF8;
  • Π’ язык сцСнариСв Π΄ΠΎΠ±Π°Π²Π»Π΅Π½Π° ΠΏΠΎΠ΄Π΄Π΅Ρ€ΠΆΠΊΠ° Π·Π°ΠΌΡ‹ΠΊΠ°Π½ΠΈΠΉ для Π°Π½ΠΎΠ½ΠΈΠΌΠ½Ρ‹Ρ… Ρ„ΡƒΠ½ΠΊΡ†ΠΈΠΉ, Π΄ΠΎΠ±Π°Π²Π»Π΅Π½ ΠΎΠΏΠ΅Ρ€Π°Ρ‚ΠΎΡ€ ΠΏΠ΅Ρ€Π΅Π±ΠΎΡ€Π° Ρ‚Π°Π±Π»ΠΈΡ† Π² Ρ„ΠΎΡ€ΠΌΠ°Ρ‚Π΅ ΠΊΠ»ΡŽΡ‡-Π·Π½Π°Ρ‡Π΅Π½ΠΈΠ΅ («for ( key, value in t )»), Ρ€Π΅Π°Π»ΠΈΠ·ΠΎΠ²Π°Π½Ρ‹ ΠΎΠΏΠ΅Ρ€Π°Ρ†ΠΈΠΈ раздСлСния Π²Π΅ΠΊΡ‚ΠΎΡ€ΠΎΠ² Π² стилС Python («v[2:4]»), ΠΏΡ€Π΅Π΄Π»ΠΎΠΆΠ΅Π½Π° новая структура paraglob для быстрого сопоставлСния строковых масок Π² Π±ΠΎΠ»ΡŒΡˆΠΈΡ… Π½Π°Π±ΠΎΡ€Π°Ρ… Π±ΠΈΠ½Π°Ρ€Π½Ρ‹Ρ… Π΄Π°Π½Π½Ρ‹Ρ…;
  • ВсС упоминания ΠΈΠΌΠ΅Π½ΠΈ «bro» Π² Ρ„Π°ΠΉΠ»ΠΎΠ²Ρ‹Ρ… путях, настройках, ΠΏΠ°ΠΊΠ΅Ρ‚Π°Ρ…, скриптах, пространствах ΠΈΠΌΡ‘Π½ ΠΈ функциях Π·Π°ΠΌΠ΅Π½Π΅Π½Ρ‹ Π½Π° «zeek» (ΠΏΠΎΠ΄Π΄Π΅Ρ€ΠΆΠΊΠ° старых ΠΈΠΌΡ‘Π½ сохранСна для обСспСчСния ΠΎΠ±Ρ€Π°Ρ‚Π½ΠΎΠΉ совмСстимости). ΠŸΠ°ΠΊΠ΅Ρ‚Π½Ρ‹ΠΉ ΠΌΠ΅Π½Π΅Π΄ΠΆΠ΅Ρ€ bro-pkg ΠΏΠ΅Ρ€Π΅ΠΈΠΌΠ΅Π½ΠΎΠ²Π°Π½ Π² zkg.

Π˜ΡΡ‚ΠΎΡ‡Π½ΠΈΠΊ: opennet.ru