Udgivelsen af trafik- og netværksinvasion analyse systemet Zeek 8.0.0, tidligere kendt som Bro, er offentliggjort. Zeek er en platform til trafik analyse, der primært fokuserer på at overvåge sikkerhedsevents, men ikke er begrænset til denne anvendelse. Systemets kode er skrevet i C++ og distribueres under BSD-licensen.
Platformen tilbyder moduler til analyse og parsing af forskellige applikationsprotokoller, der tager højde for forbindelsens tilstand og tillader dannelse af detaljerede logfiler (arkiver) over netværksaktiviteter. Der tilbydes et domænespecifikt sprog til at skrive overvågnings- og anomalidetektions scripts, der tager højde for specifikationen af de enkelte infrastrukturer. Systemet er optimeret til brug i netværk med høj båndbredde. Der tilbydes en API til integration med tredjeparts informationssystemer og realtidsdataudveksling.
I den nye udgivelse af Zeek:
- Muligheden for at konfigurere netværksflow-ID'er (Flow Tuple) via plugins er blevet tilføjet. For at undgå sammenstød ved deling af flows i komplekse netværk kan man nu, ud over IP-adresser, tage højde for portnumre og protokoller, også tage ekstra kontekst i betragtning, såsom VLAN-tags eller identifikatorer for indkapslet trafik for VXLAN og Geneve.
- En ny clustered backend baseret på ZeroMQ er klar til brug i produktionssystemer og definerer metoden for interaktion mellem cluster-noder og datserializedataformatet. Broker backenden fortsætter med at blive anvendt som standard, men i fremtiden er der planlagt en overgang til ZeroMQ backenden som standard, som gør det muligt at undgå proxies ved distribution af broadcast-beskeder mellem noder. Indsamlingen af telemetri om clusterets arbejde er blevet forenklet, hvilket gør det muligt at overvåge belastningen på noderne, uanset hvilken backend der anvendes.
- En parser til Redis databaseprotokollen er blevet tilføjet, og logning af opsnappede operationer er blevet sikret.
- SMTP-analysatoren har implementeret understøttelse til at ekstrahere e-mails (RFC 822) fra trafik og sende dem til filanalysatoren, hvilket kan bruges til at gemme opsnappede e-mails på disk som filer i .eml format.
- FTP-analyzatoren har fået tilføjet støtte til AUTH TLS-udvidelsen.
- DNS-analyzatoren har implementeret genkendelse af NAPTR-poster.
- PPPoE-analyzatoren har fået mulighed for at udskrive sessionens identifikatorer.
- I stedet for separate logfiler analyzer.log og dpd.log anvendes en samlet log analyzer.log.
- Parser-generatoren til protokoller og filer er blevet opdateret til version Spicy 1.14, som tilbyder nye optimeringer og muligheden for at fjerne ubrugte funktionsparametre.
- Der er givet mulighed for at ændre logformatet ved hjælp af pakken logschema (for eksempel kan man bruge JSON eller CSV i stedet for traditionelle tekstlogs).
- For at bygge projektet kræves nu en compiler, der understøtter C++20-standarden. De minimumsunderstøttede versioner er angivet som GCC 10, Clang 8 og Visual Studio 2022.
Desuden kan vi nævne udgivelsen af netværkssikkerhedsscanneren Nmap 7.98, der er designet til at udføre netværksrevision og identificere aktive netværkstjenester. Projektkoden leveres under NPSL (Nmap Public Source License), der er baseret på GPLv2-licensen, som er suppleret med anbefalinger (ikke krav) til brug af OEM-licensering og køb af kommercielle licenser, hvis producenten ikke ønsker at åbne koden til sit produkt i henhold til copyleft-licensens krav eller ønsker at integrere Nmap i produkter, der ikke er kompatible med GPL.
I version Nmap 7.98 er der primært fejlrettelser. For eksempel er der rettet nedbrud ved brug af nmap med visse VPN-interfaces. Af funktionelle ændringer kan fremhæves tilføjelsen af NSE-bindings til brug af libssh2-funktioner i automatiseringsscripts til Nmap. DNS-opløsningen er blevet optimeret. Biblioteket tls.lua har fået tilføjet støtte til cipher suites anvendt i TLSv1.3, inklusive post-kvante cipher suites. Versionerne OpenSSL 3.0.17, Lua 5.4.8 og Npcap 1.83, der anvendes i de færdige builds, er blevet opdateret.
Kilde: opennet.ru
