Die Organisation OISF (Open Information Security Foundation) das System zur Erkennung und Verhinderung von Netzwerkangriffen veröffentlicht , das verschiedene Inspektionswerkzeuge für unterschiedlichste Arten von Verkehr bereitstellt. In den Konfigurationen von Suricata ist die Nutzung von , die durch das Snort-Projekt entwickelt werden, sowie von Regelsets und . Der Quellcode des Projekts unter der GPLv2-Lizenz.
Hauptänderungen:
- Neue Parser- und Logging-Module für die Protokolle
RDP, SNMP und SIP, geschrieben in Rust. Das FTP-Parsing-Modul wurde um eine Logging-Funktionalität über das EVE-Subsystem erweitert, das Ereignisse im JSON-Format ausgibt; - Zusätzlich zur Unterstützung der TLS-Client-Identifikationsmethode JA3, die im letzten Release eingeführt wurde, wurde die Unterstützung für die Methode , die es ermöglicht, basierend auf den Merkmalen des Handshakes und den angegebenen Parametern zu bestimmen, welche Software zur Verbindungsherstellung verwendet wird (z. B. kann sie die Nutzung von Tor und anderen gängigen Anwendungen identifizieren). JA3 ermöglicht die Identifizierung von Clients, während JA3S für Server verantwortlich ist. Die Ergebnisse der Identifizierung können in der Regelwerkssprache und in Logs verwendet werden;
- Eine experimentelle Möglichkeit zum Matching mit großen Datensätzen wurde hinzugefügt, realisiert durch die neuen Operationen . Diese Möglichkeit eignet sich beispielsweise zur Suche nach Masken in großen Blacklists mit Millionen von Einträgen;
- Im HTTP-Inspektionsmodus wurde eine vollständige Abdeckung aller Situationen gewährleistet, die im Testset beschrieben sind (z. B. werden Methoden abgedeckt, die zur Verschleierung bösartiger Aktivitäten im Datenverkehr eingesetzt werden);
- Die Entwicklungstools für Module in Rust wurden aus Optionen in obligatorische Funktionen umgewandelt. Zukünftig ist eine Erweiterung des Einsatzes von Rust in der Codebasis des Projekts geplant, sowie eine schrittweise Ersetzung der Module durch äquivalente, die in Rust entwickelt wurden;
- Die Protokollerkennungs-Engine wurde hinsichtlich der Genauigkeit und der Verarbeitung asynchroner Datenströme verbessert;
- Im EVE-Log wurde die Unterstützung für einen neuen Aufzeichnungstyp "anomaly" hinzugefügt, in dem atypische Ereignisse, die beim Dekodieren von Paketen erkannt werden, gespeichert werden. Im EVE wurde auch die Darstellung von VLAN-Informationen und dem Interface des Datenverkehrs-Capturings erweitert. Eine Option wurde hinzugefügt, um alle HTTP-Header in den http-Logs von EVE zu speichern;
- In eBPF-basierten Handlern wurde die Unterstützung für Hardware-Beschleunigungsmechanismen zur Packet-Capture bereitgestellt. Die Hardwarebeschleunigung ist vorerst auf Netronome-Netzwerkadapter beschränkt, wird aber bald auch für andere Hardware verfügbar sein;
- Der Code zum Erfassen von Datenverkehr mit dem Netmap-Framework wurde neu geschrieben. Es wurde die Möglichkeit hinzugefügt, die erweiterten Funktionen von Netmap zu nutzen, wie z. B. den virtuellen Switch. ;
- Unterstützung für das neue Schema zur Bestimmung von Schlüsselwörtern für ‚Sticky Buffers‘. Das neue Schema wird im Format ‚protokoll.puffer‘ definiert, z. B. wird das Schlüsselwort für die Inspektion von URIs die Form ‚http.uri‘ annehmen anstelle von ‚http_uri‘;
- Der gesamte verwendete Python-Code wurde auf Kompatibilität mit
Python 3; - Die Unterstützung der Tilera-Architektur, des Textprotokolls dns.log und des alten Protokolls files-json.log wurde eingestellt.
Besonderheiten von Suricata:
- Verwendung eines einheitlichen Formats für die Ausgabe der Prüfergebnisse , das auch vom Snort-Projekt verwendet wird, was die Nutzung standardisierter Analysetools wie . Möglichkeit zur Integration mit Produkten wie BASE, Snorby, Sguil und SQueRT. Unterstützung für die Ausgabe im PCAP-Format.
- Unterstützung der automatischen Protokollidentifikation (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB usw.), die es ermöglicht, in den Regeln nur mit dem Protokolltyp zu arbeiten, ohne an die Portnummer gebunden zu sein (zum Beispiel HTTP-Verkehr an einem nicht standardmäßigen Port zu blockieren). Vorhandensein von Decodern für die Protokolle HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP und SSH;
- Leistungsstarkes System zur Analyse des HTTP-Verkehrs, das zur Analyse und Normalisierung des HTTP-Verkehrs eine spezielle HTP-Bibliothek nutzt, die vom Autor des Mod_Security-Projekts erstellt wurde. Ein Modul zum Führen eines detaillierten Protokolls von transitiven HTTP-Übertragungen steht zur Verfügung, das Protokoll wird im Standardformat gespeichert;
Apache. Unterstützung des Extrahierens und Prüfens von über das HTTP-Protokoll übertragenen Dateien. Unterstützung für die Analyse komprimierter Inhalte. Möglichkeit zur Identifizierung nach URI, Cookie, Header, User-Agent, Anfrage-/Antwortkörper; - Unterstützung verschiedener Schnittstellen zur Verkehrsüberwachung, einschließlich NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Möglichkeit zur Analyse bereits gespeicherter Dateien im PCAP-Format;
- Hohe Leistung, Fähigkeit, auf gewöhnlicher Hardware Ströme von bis zu 10 Gigabit/Sekunde zu verarbeiten.
- Hochleistungsmechanismus zur maskenbasierten Zuordnung mit großen IP-Adress-Sets. Unterstützung für die Inhaltsfilterung anhand von Masken und regulären Ausdrücken. Extrahieren von Dateien aus dem Verkehr, einschließlich deren Identifikation nach Name, Typ oder MD5-Prüfziffer.
- Möglichkeit der Verwendung von Variablen in Regeln: Es ist möglich, Informationen aus dem Verkehr zu speichern und später in anderen Regeln zu verwenden;
- Verwendung des YAML-Formats in Konfigurationsdateien, was die Übersichtlichkeit bei einfacher maschineller Verarbeitung gewährleistet;
- Vollständige Unterstützung von IPv6;
- Eingebauter Mechanismus zur automatischen Defragmentierung und Wiederzusammensetzung von Paketen, der eine korrekte Verarbeitung der Ströme unabhängig von der Reihenfolge des Paketempfangs ermöglicht;
- Unterstützung für Tunneling-Protokolle: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
- Unterstützung für das Dekodieren von Paketen: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
- Protokollmodus für Schlüssel und Zertifikate, die im Rahmen von TLS/SSL-Verbindungen auftreten;
- Möglichkeit, Skripte in Lua zur erweiterten Analyse und Implementierung zusätzlicher Funktionen zu schreiben, die zur Bestimmung von Verkehrsarten erforderlich sind, für die die Standardregeln nicht ausreichend sind.
Quelle: opennet.ru
