Das Angriffserkennungssystem Suricata 8.0 ist verfügbar.

Nach zwei Jahren Entwicklung hat die OISF (Open Information Security Foundation) die Version 8.0 des Intrusion Detection and Prevention Systems Suricata veröffentlicht, das Mittel zur Inspektion verschiedener Arten von Datenverkehr bietet. In den Konfigurationen von Suricata ist die Verwendung einer von dem Snort-Projekt entwickelten Signaturdatenbank sowie der Regelsets Emerging Threats und Emerging Threats Pro zulässig. Der Quellcode des Projekts wird unter der GPLv2-Lizenz verbreitet.

Wesentliche Änderungen:

• Eine experimentelle Funktion zur Nutzung von Suricata als Firewall wurde hinzugefügt. Der Firewall-Modus ermöglicht die Verwendung einer Dialektversion der Sprache zur Inspektion von Datenverkehr für die Filterung von Netzwerkpaketen.
• Die Möglichkeit zum Schreiben von Skripten in der Programmiersprache Lua wurde überarbeitet. In den Code-Basis wurde der Lua 5.4-Interpreter integriert, der in einer Sandbox-Umgebung läuft, die die Regeln für Lua (z.B. das Schreiben in Dateien oder das Erstellen von Netzwerksockets) einschränkt.
• Die Möglichkeit zur dynamischen (zur Laufzeit) Registrierung von Plugins mit Protokollparsern, Detektoren und Komponenten für das Logging wurde bereitgestellt.
• Es wurden erhebliche Leistungsoptimierungen durchgeführt, die verschiedene Aspekte der Engine-Betriebs beschleunigen, einschließlich der Protokollidentifikation, der Regelanwendung und der Initialisierung. Die Beschleunigung erfolgt durch die Vorhersage von Übergängen, die Optimierung von Hash-Funktionen, die Erhöhung der Größe von PCAP-Daten-Lade-Puffern und die Überarbeitung der Thread-Synchronisation. Auch die Startzeit von Suricata konnte reduziert werden, indem Caching, erweiterte Portgruppierung und ein verbesserter Algorithmus zur IP-Adressen-Ersatz verwendet wurden.
• Die Handler für LibHTP, FTP, ENIP sowie der Code für das Parsen von MIME-Typen, die Operation byte_extract und die Decodierung von base64 wurden in der Programmiersprache Rust neu geschrieben.
• Unterstützung für die Protokolle DoH (DNS über HTTPS), LDAP, mDNS (Multicast DNS) und Websocket wurde hinzugefügt.
• Neue Module zum Dekodieren und Protokollieren für die Protokolle ARP und POP3 wurden hinzugefügt.
• Die Analyse von SDP-Traffic über SIP und SIP über TCP wurde implementiert.
• Die Möglichkeiten des Protokollerkennungs-Engines und der Regelgenerierung wurden erweitert. Für die Regeln wurden die Schlüsselwörter LDAP, MIME/EMAIL, vlan.id, DNS, SMTP, FTP, TLS, tcp.wscale, pgsql.query, from_base64, entropy, luaxform und mDNS implementiert. Transaktionsregeln wurden hinzugefügt, um beide Richtungen einer Transaktion in einer Regel zu beschreiben.

Besonderheiten von Suricata:

• • Verwendung eines einheitlichen Formats für die Ausgabe von Prüfergebnissen, das auch im Snort-Projekt genutzt wird, wodurch die Verwendung standardmäßiger Analysetools wie barnyard2 ermöglicht wird. Integration mit Produkten wie BASE, Snorby, Sguil und SQueRT ist möglich. Unterstützung für die Ausgabe im PCAP-Format;
  • Unterstützung für die automatische Erkennung von Protokollen (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB usw.), die es ermöglicht, in Regeln nur den Protokolltyp ohne Bindung an die Portnummer zu verwenden (zum Beispiel HTTP-Verkehr auf einem nicht standardmäßigen Port blockieren). Decoder für Protokolle von HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP, LDAP und SSH;
  • Ein HTTP-Verkehrsanalyse-System, das die HTP-Bibliothek zur Analyse und Normalisierung von HTTP-Verkehr verwendet, die vom Autor des Mod_Security-Projekts erstellt wurde. Ein Modul zur detaillierten Protokollierung von Transit-HTTP-Weiterleitungen ist verfügbar (das Protokoll wird im Standardformat von Apache gespeichert). Unterstützung für das Extrahieren und Überprüfen von Dateien, die über HTTP übertragen werden, sowie die Analyse von komprimierten Inhalten. Möglichkeit der Identifikation über URI, Cookies, Header, User-Agent und den Body der Anfrage/Antwort;
  • Unterstützung verschiedener Schnittstellen zur Verkehrsüberwachung, einschließlich NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Analyse bereits gespeicherter Dateien im PCAP-Format möglich;
  • Hohe Leistung mit der Fähigkeit, Ströme von mehreren Dutzend Gigabit pro Sekunde auf Standardhardware zu verarbeiten.
  • Hochleistungs-Mustervergleichsmechanismus mit umfangreichen IP-Adressen-Sets. Unterstützung für die Inhaltsauswahl basierend auf Masken und regulären Ausdrücken. Extraktion von Dateien aus dem Datenverkehr, einschließlich ihrer Identifizierung nach Name, Typ oder Hash.
  • Möglichkeit, Variablen in Regeln zu verwenden: Informationen aus dem Datenstrom zu speichern und später in anderen Regeln zu nutzen.
  • Verwendung des YAML-Formats in Konfigurationsdateien, das Übersichtlichkeit mit einfacher maschineller Verarbeitung kombiniert.
  • Vollständige Unterstützung IPv6;
  • Integrierte Engine für die automatische Defragmentierung und Rekonstruktion von Paketen, die eine korrekte Verarbeitung von Streams unabhängig von der Reihenfolge des Paketempfangs ermöglicht.
  • Unterstützung für Tunnelprotokolle: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE.
  • Unterstützung für die Dekodierung von Paketen: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, ARP, PPPoE, Raw, SLL, VLAN.
  • Protokollmodus für Schlüssel und Zertifikate, die in TLS-Verbindungen verwendet werden.
  • Möglichkeit, Skripte in Lua zu schreiben für eine erweiterte Analyse des Datenverkehrs und die Implementierung zusätzlicher Funktionen, für die die Standardregeln nicht ausreichen.

Quelle: opennet.ru