Sieben Jahre nach der Bildung des vergangenen signifikanten Zweigs veröffentlichte das System zur Analyse des Datenverkehrs und zur Identifizierung von Netzwerkintrusionen , das zuvor unter dem Namen Bro verbreitet wurde. Dies ist die erste bedeutende Veröffentlichung nach , die vorgenommen wurde, da der Name Bro mit einer gleichnamigen marginalisierten Subkultur assoziiert wurde und nicht als beabsichtigter Hinweis der Autoren auf „Big Brother“ aus George Orwells Roman „1984“. Der Code des Systems ist in C++ geschrieben und unter der BSD-Lizenz stehen.
Zeek ist eine Plattform zur Analyse des Datenverkehrs, die sich in erster Linie auf die Verfolgung von sicherheitsrelevanten Ereignissen konzentriert, aber in ihrer Anwendung nicht darauf beschränkt ist. Es werden Module zur Analyse und Parsing verschiedener Netzwerkprotokolle der Anwendungsebene bereitgestellt, die den Zustand von Verbindungen berücksichtigen und es ermöglichen, ein detailliertes Protokoll (Archiv) der Netzwerkaktivität zu führen. Es wird eine funktionsorientierte Sprache zur Erstellung von Überwachungs- und Anomalieerkennungsskripten unter Berücksichtigung der Spezifikationen konkreter Infrastrukturen angeboten. Das System ist für den Einsatz in Hochgeschwindigkeitsnetzwerken optimiert. Eine API zur Integration mit Drittanbietersystemen und zum Datenaustausch in Echtzeit wird bereitgestellt.
Im :
- Der NTP-Analyser wurde vollständig neu geschrieben und ein neuer Analyser für MQTT hinzugefügt. Die Möglichkeiten der Analyser für DNS, RDP, SMB und TLS wurden erweitert. Für DNS wurde das Parsing von SPF-Einträgen unterstützt, und für DNSSEC – RRSIG, DNSKEY, DS, NSEC und NSEC3 sowie die Extraktion verwobener Ereignisse. Der SMB-Analyser wurde um Unterstützung für das Protokoll SMB 3.x erweitert, und für TLS wurde die Unterstützung für TLS 1.3 hinzugefügt;
- Die Unterstützung für die Dekapselung von Streams, die innerhalb von VXLAN-Tunneln übertragen werden, wurde implementiert;
- Die Unterstützung für Links vom Typ NFLOG wurde hinzugefügt;
- Die Möglichkeit, extrahierte Daten im Protokoll im UTF8-Format zu speichern, wurde hinzugefügt;
- Der Skriptsprache wurde die Unterstützung für Closures für anonyme Funktionen hinzugefügt, der Iterationsoperator für Schlüssel-Wert-Tabellen („for ( key, value in t )“) wurde implementiert, vektorartige Operationen im Python-Stil („v[2:4]“) wurden realisiert, und eine neue Struktur paraglob wurde für eine schnelle Zuordnung von Stringmustern in großen Mengen binärer Daten vorgeschlagen;
- Alle Erwähnungen des Namens „bro“ in Dateipfaden, Einstellungen, Paketen, Skripten, Namensräumen und Funktionen wurden in „zeek“ geändert (unterstützen der alten Namen zur Wahrung der Abwärtskompatibilität). Der Paketmanager bro-pkg wurde in zkg umbenannt.
Quelle: opennet.ru
