Systém detekce útoků Suricata 5.0 je nyní k dispozici

Organizace OISF (Open Information Security Foundation) publikovala uvolnila systém detekce a prevence síťových útoků Suricata 5.0, který poskytuje nástroje pro inspekci různých typů provozu. V konfiguracích Suricata je možné využívat databázi signatur, vyvíjenou projektem Snort, stejně jako sady pravidel Emerging Threats a Emerging Threats Pro. Zdrojové kódy projektu se distribují pod licencí GPLv2.

Hlavní změny:

• Byly představeny nové moduly pro analýzu a logování protokolů
  RDP, SNMP a SIP, napsané v jazyce Rust. Do modulu pro rozbor FTP byla přidána možnost logování prostřednictvím systému EVE, který zajišťuje výstup událostí ve formátu JSON;
• K podpoře metody identifikace TLS klientů JA3, která byla přidána v předchozí verzi, byla nově přidána podpora metody JA3S, umožňující na základě specifikací vyjednávání spojení a stanovených parametrů určit, jaký software se používá pro vytvoření spojení (například umožňuje určit použití Tor a dalších typických aplikací). JA3 umožňuje identifikaci klientů, zatímco JA3S identifikuje servery. Výsledky identifikace lze použít v jazyce pravidel a v logách;
• Byla přidána experimentální funkce pro porovnávání velkých datových sad, implementována novými operacemi dataset a datarep. Například, tato možnost je použitelná pro hledání masky v rozsáhlých černých listech obsahujících miliony položek;
• V režimu kontroly HTTP bylo zajištěno úplné pokrytí všech situací uvedených v testovacím souboru HTTP Evader (například pokrývá metody použité k maskování škodlivé aktivity v provozu);
• Nástroje pro vývoj modulů v jazyce Rust byly převedeny z volitelných na povinné standardní možnosti. V budoucnu se plánuje rozšíření použití Rustu v kódu projektu a postupná náhrada modulů za ekvivalenty vyvinuté v Rustu;
• Engine pro identifikaci protokolů byl vylepšen v oblasti zvyšování přesnosti a zpracování asynchronních toků provozu;
• Do EVE logu byla přidána podpora nového typu záznamu „anomaly“, který ukládá atypické události zjištěné při dekódování paketů. V EVE bylo také rozšířeno zobrazení informací o VLAN a rozhraních pro zachytávání provozu. Byla přidána možnost uchovávat všechny HTTP hlavičky v http záznamech EVE logu;
• V eBPF založených zpracovatelích byla zajištěna podpora hardwarových mechanismů pro urychlení zachytávání paketů. Hardwarové urychlení je zatím omezeno na síťové adaptéry Netronome, ale brzy bude dostupné i pro jiný hardware;
• Přepsaný kód pro zachycení provozu pomocí rámce Netmap. Přidána možnost využití rozšířených funkcí Netmap, jako je virtuální switch. VALE;
• Byla přidána podpora nové schémy určení klíčových slov pro „lepkavé buffery“ (Sticky Buffers). Nová schéma je definována ve formátu „protokol.buffer“, například pro inspekci URI klíčové slovo nabude tvaru „http.uri“ místo „http_uri“;
• Veškerý použitý Python kód byl zkontrolován na kompatibilitu s
  Python 3;
• Byla ukončena podpora architektury Tilera, textového logu dns.log a starého logu files-json.log.

Vlastnosti Suricata:

• Použití jednotného formátu pro výstup výsledků hodnocení Unified2, také používaného projektem Snort, což umožňuje použití standardních nástrojů pro analýzu, jako je barnyard2. Možnost integrace s produkty BASE, Snorby, Sguil a SQueRT. Podpora výstupu ve formátu PCAP;
• Podpora automatického rozpoznávání protokolů (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB atd.), což umožňuje manipulaci v pravidlech pouze podle typu protokolu, bez vazby na číslo portu (například blokování HTTP provozu na nestandardním portu). K dispozici jsou dekodéry pro protokoly HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP a SSH;
• Silný systém analýzy HTTP provozu, který využívá pro analýzu a normalizaci HTTP provozu speciální knihovnu HTP, vytvořenou autorem projektu Mod_Security. K dispozici je modul pro vedení podrobného logu přenosů HTTP, log je uchováván ve standardním formátu.
  Apache. Podporuje extrakci a kontrolu souborů přenášených protokolem HTTP. Podpora analýzy komprimovaného obsahu. Možnost identifikace pomocí URI, cookie, hlaviček, user-agent, těla žádosti/odpovědi;
• Podpora různých rozhraní pro zachytávání provozu, včetně NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Možnost analýzy již uložených souborů ve formátu PCAP;
• Vysoký výkon, schopnost zpracovávat na běžném vybavení toky až do 10 gigabitů/sec.
• Vysoce výkonný mechanismus shody pomocí masky s velkými sadami IP adres. Podpora vyčlenění obsahu podle masky a regulárních výrazů. Vyčlenění souborů z provozu, včetně jejich identifikace podle názvu, typu nebo kontrolního součtu MD5.
• Možnost použití proměnných v pravidlech: lze uložit informace z toku a později je použít v jiných pravidlech;
• Použití formátu YAML v konfiguračních souborech, což umožňuje zachovat přehlednost při snadném strojovém zpracování;
• Úplná podpora IPv6;
• Vestavěný motor pro automatickou defragmentaci a přestavbu paketů, který umožňuje zajištění správného zpracování toků, nezávisle na pořadí příjmu paketů;
• Podpora tunelovacích protokolů: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
• Podpora dekódování paketů: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
• Režim vedení logu klíčů a certifikátů, které se objevují v rámci připojení TLS/SSL;
• Možnost psaní skriptů v jazyce Lua pro zajištění rozšířené analýzy a realizaci dalších funkcí potřebných pro určení typů provozu, pro které standardní pravidla nestačí.

Zdroj: opennet.ru