Bylo uvolněno vydání systému analýzy provozu a detekce síťových narušení Zeek 8.0.0, dříve známého jako Bro. Zeek je platforma pro analýzu provozu, která je primárně zaměřena na sledování událostí souvisejících s bezpečností, ale není tímto použitím omezena. Kód systému je napsán v jazyce C++ a je distribuován pod licencí BSD.
Platforma poskytuje moduly pro analýzu a parsování různých síťových protokolů na úrovni aplikací, které zohledňují stav spojení a umožňují vytvářet podrobné záznamy (archiv) síťové aktivity. Nabízí se doménově orientovaný jazyk pro psaní skriptů monitorování a detekce anomálií s ohledem na specifika konkrétních infrastruktur. Systém je optimalizován pro použití v sítích s vysokou propustností. Je k dispozici API pro integraci s externími informačními systémy a výměnu dat v reálném čase.
V novém vydání Zeek:
- Byla přidána možnost nastavení identifikátorů síťového toku (Flow Tuple) prostřednictvím pluginů. Aby se předešlo kolizím při dělení toků v komplexních sítích, kromě IP adress, čísel portů a protokolu je nyní možné zohlednit i další kontext, například tagy VLAN nebo identifikátory enkapsulovaného proudu pro VXLAN a Geneve.
- Byl připraven nový clusterový backend založený na ZeroMQ, který určuje metodu interakce mezi uzly clusteru a formát serializace dat. Jako výchozí se nadále používá backend Broker, ale v budoucnu je plánován přechod na backend ZeroMQ jako výchozí, který umožňuje obejít se bez proxy při šíření zpráv do uzlů. Bylo zjednodušeno shromažďování telemetrie o činnosti clusteru, což umožňuje sledovat zátěž na uzlech, bez ohledu na používaný backend.
- Byl přidán parser pro protokol databázového systému Redis a bylo zajištěno vedení logu zachycených operací.
- V analyzátoru SMTP byla implementována podpora pro extrakci e-mailových zpráv (RFC 822) z provozu a jejich přenos do analyzátoru souborů, což lze využít k uložení zachycených e-mailů na disk ve formátu .eml.
- Do analyzátoru FTP byla přidána podpora rozšíření AUTH TLS.
- V DNS analyzátoru bylo implementováno rozpoznávání záznamů NAPTR.
- Do PPPoE analyzátoru byla přidána možnost výstupu identifikátorů sezení.
- Místo oddělených logů analyzer.log a dpd.log byl použit společný log analyzer.log.
- Generátor parserů pro analýzu protokolů a souborů byl aktualizován na verzi Spicy 1.14, která nabízí nové optimalizace a zajišťuje odstranění nepoužívaných parametrů funkcí.
- Byla poskytnuta možnost změny formátu logování pomocí balíčku logschema (například lze použít JSON nebo CSV namísto tradičních textových logů).
- Pro sestavení projektu je nyní vyžadován kompilátor s podporou standardu C++20. Minimálně podporované verze jsou GCC 10, Clang 8 a Visual Studio 2022.
Dále lze poznamenat vydání skeneru síťové bezpečnosti Nmap 7.98, určeného pro audit sítě a identifikaci aktivních síťových služeb. Kód projektu je dodáván pod licencí NPSL (Nmap Public Source License), založenou na licenci GPLv2, která je doplněna doporučeními (ne požadavky) pro použití programu OEM licencování a zakoupení komerční licence, pokud výrobce nechce zveřejnit kód svého produktu podle požadavků copyleftové licence nebo zamýšlí integrovat Nmap do produktů, které nejsou kompatibilní s GPL.
Ve verzi Nmap 7.98 jsou především opravy chyb. Například byla odstraněna náhodná ukončení při použití nmap s některými VPN-rozhraními. Mezi funkčními změnami vyniká přidání NSE obálek pro použití funkcí libssh2 ve skriptech automatizace akcí s Nmap. Byla optimalizována práce resolveru DNS. Do knihovny tls.lua byla přidána podpora šifrovacích sad používaných v TLSv1.3, včetně postkvantových šifrovacích sad. Byly aktualizovány verze OpenSSL 3.0.17, Lua 5.4.8 a Npcap 1.83 použité v připravených sestavách.
Zdroj: opennet.ru
