Udgivelse af netværksanalyseværktøjerne Wireshark 4.4.0 og Zeek 7.0.0

Udgivet er en ny stabil version af netværksanalysatoren Wireshark 4.4. Programmet understøtter over tusinde netværksprotokoller og flere dusin trafikopfangningsformater. Der tilbydes et fleksibelt interface til at oprette filtre, opfange trafik, analysere gemte dumps og inspicere pakker. Avancerede funktioner som genopbygning af rækkefølgen af pakker, udtrækning og gemning af indholdet af filer overført via forskellige protokoller, afspilning af VoIP- og RTP-strømme, dekryptering af IPsec, ISAKMP, Kerberos, SNMPv3, SSL/TLS, WEP og WPA/WPA2 understøttes. Projektets kode distribueres under GPLv2-licensen.

Nøgleopdateringer i Wireshark 4.4.0:

• Tilføjet støtte til automatisk skift af profiler med indstillinger. Brugeren kan binde et visningsfilter til en profil, og når en fil med opfanget trafik åbnes, der falder ind under filteret, vil den tilknyttede profil automatisk blive aktiveret.
• Tilføjet support for Lua 5.3 og 5.4. Support for Lua 5.1 og 5.2 er blevet ophævet.
• I visningsfiltre er understøttelsen af strenge værdier forbedret (mulighed for strengrepræsentation af numeriske felter er tilføjet).
• Mulighed for at definere filterfunktioner som plugins, analogt med filparsers og protokolparsers moduler, er blevet givet.
• Tilføjet funktionen "Edit > Copy > Display filter as pcap filter" for at konvertere visningsfiltre til pcap-filtre med ækvivalente felter.
• Mange grafiske dialoger er forbedret, og grafikker til input/output, trafikstrømme, VoIP-opkald og TCP-strømme er opdateret.
• Tilladt definition af egne kolonner, der kan dannes ved hjælp af vilkårlige operationer på felter (filterfunktioner, aritmetiske beregninger, logiske operationer, protokolmodifikatorer osv.).
• Tilladt definition af egne outputfelter for "tshark -e", ved brug af operationer på eksisterende felter.
• Tilføjet støtte til kompilering med zlib-ng biblioteket i stedet for zlib til arbejde med komprimerede filer.
• Der er tilføjet support for protokoller og formater:
  • Allied Telesis Resiliency Link (AT RL),
  • ATN Security Label,
  • Bit Index Explicit Replication (BIER),
  • Bus Mirroring Protocol,
  • EGNOS Message Server (EMS),
  • Galileo E1-B I/NAV,
  • IBM i RDMA Endpoint (iRDMA-EDP),
  • IWBEMSERVICES, MAC NR Framed (mac-nr-framed),
  • Matter Bluetooth Transport Protocol (MatterBTP),
  • MiWi P2P Star,
  • Monero,
  • NMEA 0183,
  • PLDM,
  • RDP authentication redirection virtual channel protocol (rdpear),
  • RF4CE Network Layer (RF4CE),
  • RF4CE Profile (RF4CE Profile),
  • RK512, SAP Remote Function Call (SAPRFC),
  • SBAS L1 Navigationsbesked,
  • Scanner Access Now Easy (SANE),
  • TREL,
  • WMIO,
  • ZeroMQ Meddelelsestransportprotokol (ZMTP).
• Sårbarhed rettet (CVE-2024-8250), der førte til nedbrud ved behandling af særligt formaterede pakker.

Der kan desuden nævnes udgivelsen af trafikanalysesystemet og opdagelse af netværksindtrængen Zeek 7.0.0, tidligere kendt som Bro. Zeek er en platform til trafik analyse, primært rettet mod overvågning af sikkerhedsrelaterede begivenheder, men ikke begrænset til denne anvendelse. Zeek-platformen tilbyder moduler til analyse og fortolkning af forskellige applikationsprotokoller, tager hensyn til forbindelsers tilstand og muliggør oprettelse af detaljerede logfiler (arkiv) over netværksaktivitet. Der tilbydes et domænespecifikt sprog til skrivning af overvågnings- og anomaliopdagelsesscripts, der tager højde for de specifikke behov i de enkelte infrastrukturer. Systemet er optimeret til brug i netværk med høj båndbredde. Der tilbydes et API til integration med tredjeparts informationssystemer og realtidsdataudveksling. Koden til systemet er skrevet i C++ og distribueres under BSD-licens.

I den nye udgivelse af Zeek:

• Telemetry-rammeværket, der anvendes til indsamling og eksport af statistik (f.eks. antal åbne forbindelser og intensitet af anmodninger), er blevet redesignede. I stedet for at aggregere metrikker på slutpunkterne og sende dem til en enkelt styringsnode, anvender den nye version en mekanisme til serviceopdagelse baseret på Prometheus til at indsamle metrikker fra noder.
• Parser-generatoren til analyse af protokoller og filer er blevet opdateret til version Spicy 1.11, hvor kodepræsentationen i hukommelsen er ændret, driftssikkerheden er forbedret, packet-tabs håndteres bedre, understøttelsen af bitfelter er udvidet, og ydeevnen er forbedret (for nogle protokoller er ydeevneforøgelsen op til 30%).
• Understøttelse af scriptoptimeringsmotoren ZAM (Zeek Abstract Machine) er blevet tilføjet, hvilket gør det muligt at forbedre ydeevnen af Zeek-scripts ved at kompilere syntakstræets noder til en mere effektivt kørende lavniveauform.
• Nye protokolanalysatorer til QUIC og LDAP, bygget ved hjælp af parser-generatoren Spicy, er blevet foreslået.
• Korrekt behandling af overførsel til nyere versioner af HTTP-protokollen er sikret.
• Forbedret analyse af WebSocket.
• Tilføjet støtte til forsinket logning.

Kilde: opennet.ru