Nach sieben Jahren seit der letzten bedeutenden Version der Analyse- und Netzwerkintrusions-Erkennungssysteme , zuvor unter dem Namen Bro vertrieben. Dies ist die erste bedeutende Ausgabe nach , die vorgenommen wurde, weil der Name Bro mit einer marginalen Subkultur assoziiert wurde und nicht, wie von den Autoren beabsichtigt, als Anspielung auf ‚Big Brother‘ aus George Orwells Roman ‚1984‘. Der Code des Systems ist in C++ geschrieben und unter der BSD-Lizenz.
Zeek ist eine Plattform zur Analyse von Netzwerkverkehr, die sich in erster Linie auf die Überwachung sicherheitsrelevanter Ereignisse konzentriert, jedoch nicht darauf beschränkt ist. Es werden Module zur Analyse und Interpretation verschiedener Anwendungsprotokolle bereitgestellt, die den Zustand der Verbindungen berücksichtigen und detaillierte Protokolle (Archive) der Netzwerkaktivität ermöglichen. Ein speziell gestalteter Skript-sprachen ist verfügbar, um Überwachungs- und Anomalieerkennungsszenarien gemäß den spezifischen Anforderungen der jeweiligen Infrastruktur zu erstellen. Das System ist für den Einsatz in Hochgeschwindigkeitsnetzwerken optimiert und bietet eine API für die Integration mit externen Informationssystemen sowie den Datenaustausch in Echtzeit.
In :
- Der NTP-Protokoll-Analyzer wurde komplett neu geschrieben, und ein neuer Analyzer für MQTT hinzugefügt. Die Analysefunktionen für DNS, RDP, SMB und TLS wurden erweitert. Für DNS wurde die Analyse von SPF-Einträgen bereitgestellt, während für DNSSEC die Unterstützung für RRSIG, DNSKEY, DS, NSEC und NSEC3 sowie die Erfassung der damit verbundenen Ereignisse sichergestellt wurde. Der SMB-Analyzer unterstützt nun das Protokoll SMB 3.x, und für TLS wird TLS 1.3 unterstützt.
- Die Unterstützung für die Deinkapselung von in VXLAN-Tunneln übertragenen Streams wurde implementiert;
- Unterstützung für Links vom Typ NFLOG wurde hinzugefügt;
- Es wurde die Möglichkeit hinzugefügt, extrahierte Daten im UTF8-Format in den Logs zu speichern;
- Die Skriptsprache unterstützt jetzt Closures für anonyme Funktionen, es wurde ein Schlüssel-Wert-Iterator hinzugefügt („for (key, value in t)“), Vorgänge zur Teilung von Vektoren im Python-Stil („v[2:4]“) implementiert, und eine neue paraglob-Struktur wurde für die schnelle Zuordnung von Zeichenfolgenmustern in großen binären Datensätzen vorgeschlagen;
- Alle Erwähnungen des Namens „bro“ in Dateipfaden, Einstellungen, Paketen, Skripten, Namensräumen und Funktionen wurden durch „zeek“ ersetzt (die Unterstützung alter Namen bleibt zur Wahrung der Abwärtskompatibilität erhalten). Der Paketmanager bro-pkg wurde in zkg umbenannt.
Quelle: opennet.ru
