Po roce vývoje organizace OISF (Open Information Security Foundation) uvolnila systém detekce a prevence síťových útoků , který poskytuje nástroje pro inspekci různých typů provozu. V konfiguracích Suricata je možné využívat , vyvíjenou projektem Snort, stejně jako sady pravidel a . Zdrojové kódy projektu pod licencí GPLv2.
Hlavní změny:
- Zpočátku podpora HTTP/2.
- Podpora protokolů RFB a MQTT, včetně možnosti určování protokolu a vedení protokolu.
- Možnost vedení protokolu pro protokol DCERPC.
- Významné zvýšení výkonu vedení protokolu prostřednictvím subsystému EVE, který zajišťuje výstup událostí ve formátu JSON. Zrychlení bylo dosaženo nasazením nového generátoru JSON, napsaného v jazyce Rust.
- Zvýšena škálovatelnost systému protokolů EVE a implementována možnost vedení samostatného protokolového souboru pro každý proud.
- Možnost určování podmínek pro zaznamenávání informací do protokolu.
- Možnost odrážení MAC adres v protokolu EVE a zlepšení detailnosti protokolu DNS.
- Zvýšení výkonu enginu zpracování toků (flow engine).
- Podpora identifikace implementací SSH ().
- Implementace dekodéru tunelů GENEVE.
- V jazyce Rust byl přepsán kód pro zpracování , DCERPC a SSH. V Rustu byla také implementována podpora nových protokolů.
- V jazyce pro definici pravidel byla do klíčového slova byte_jump přidána podpora parametru from_end a do byte_test – parametru bitmask. Implementováno klíčové slovo pcrexform, které umožňuje využití regulárních výrazů (pcre) pro zachycení podřetězce. Přidáno dekódování urldecode. Přidáno klíčové slovo byte_math.
- Poskytnutí možnosti použití cbindgen pro generaci vazeb v jazycích Rust a C.
- Přidána základní podpora pluginů.
Vlastnosti Suricata:
- Použití jednotného formátu pro výstup výsledků hodnocení , také používaného projektem Snort, což umožňuje použití standardních nástrojů pro analýzu, jako je . Možnost integrace s produkty BASE, Snorby, Sguil a SQueRT. Podpora výstupu ve formátu PCAP;
- Podpora automatického rozpoznávání protokolů (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB atd.), což umožňuje manipulaci v pravidlech pouze podle typu protokolu, bez vazby na číslo portu (například blokování HTTP provozu na nestandardním portu). K dispozici jsou dekodéry pro protokoly HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP a SSH;
- Silný systém analýzy HTTP provozu, který využívá pro analýzu a normalizaci HTTP provozu speciální knihovnu HTP, vytvořenou autorem projektu Mod_Security. K dispozici je modul pro vedení podrobného logu přenosů HTTP, log je uchováván ve standardním formátu.
Apache. Podporuje extrakci a kontrolu souborů přenášených protokolem HTTP. Podpora analýzy komprimovaného obsahu. Možnost identifikace pomocí URI, cookie, hlaviček, user-agent, těla žádosti/odpovědi; - Podpora různých rozhraní pro zachytávání provozu, včetně NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Možnost analýzy již uložených souborů ve formátu PCAP;
- Vysoký výkon, schopnost zpracovávat na běžném vybavení toky až do 10 gigabitů/sec.
- Vysoce výkonný mechanismus shody pomocí masky s velkými sadami IP adres. Podpora vyčlenění obsahu podle masky a regulárních výrazů. Vyčlenění souborů z provozu, včetně jejich identifikace podle názvu, typu nebo kontrolního součtu MD5.
- Možnost použití proměnných v pravidlech: lze uložit informace z toku a později je použít v jiných pravidlech;
- Použití formátu YAML v konfiguračních souborech, což umožňuje zachovat přehlednost při snadném strojovém zpracování;
- Úplná podpora IPv6;
- Vestavěný motor pro automatickou defragmentaci a přestavbu paketů, který umožňuje zajištění správného zpracování toků, nezávisle na pořadí příjmu paketů;
- Podpora tunelovacích protokolů: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
- Podpora dekódování paketů: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
- Režim vedení logu klíčů a certifikátů, které se objevují v rámci připojení TLS/SSL;
- Možnost psaní skriptů v jazyce Lua pro zajištění rozšířené analýzy a realizaci dalších funkcí potřebných pro určení typů provozu, pro které standardní pravidla nestačí.
Zdroj: opennet.ru
