{"id":138900,"date":"2025-07-10T05:12:03","date_gmt":"2025-07-10T03:12:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/dostupna-sistema-obnaruzheniya-atak-suricata-8-0"},"modified":"2026-02-08T16:48:26","modified_gmt":"2026-02-08T14:48:26","slug":"dostupna-sistema-obnaruzheniya-atak-suricata-8-0","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/dostupna-sistema-obnaruzheniya-atak-suricata-8-0","title":{"rendered":"Das Angriffserkennungssystem Suricata 8.0 ist verf\u00fcgbar.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nach zwei Jahren Entwicklung hat die OISF (Open Information Security Foundation) die Version 8.0 des Intrusion Detection and Prevention Systems Suricata ver\u00f6ffentlicht, das Mittel zur Inspektion verschiedener Arten von Datenverkehr bietet. In den Konfigurationen von Suricata ist die Verwendung einer von dem Snort-Projekt entwickelten Signaturdatenbank sowie der Regelsets Emerging Threats und Emerging Threats Pro zul\u00e4ssig. Der Quellcode des Projekts wird unter der GPLv2-Lizenz verbreitet.<\/p>\n
Wesentliche \u00c4nderungen:<\/p>\n
\n
Eine experimentelle Funktion zur Nutzung von Suricata als Firewall wurde hinzugef\u00fcgt. Der Firewall-Modus erm\u00f6glicht die Verwendung einer Dialektversion der Sprache zur Inspektion von Datenverkehr f\u00fcr die Filterung von Netzwerkpaketen.<\/li>\n
Die M\u00f6glichkeit zum Schreiben von Skripten in der Programmiersprache Lua wurde \u00fcberarbeitet. In den Code-Basis wurde der Lua 5.4-Interpreter integriert, der in einer Sandbox-Umgebung l\u00e4uft, die die Regeln f\u00fcr Lua (z.B. das Schreiben in Dateien oder das Erstellen von Netzwerksockets) einschr\u00e4nkt.<\/li>\n
Die M\u00f6glichkeit zur dynamischen (zur Laufzeit) Registrierung von Plugins mit Protokollparsern, Detektoren und Komponenten f\u00fcr das Logging wurde bereitgestellt.<\/li>\n
Es wurden erhebliche Leistungsoptimierungen durchgef\u00fchrt, die verschiedene Aspekte der Engine-Betriebs beschleunigen, einschlie\u00dflich der Protokollidentifikation, der Regelanwendung und der Initialisierung. Die Beschleunigung erfolgt durch die Vorhersage von \u00dcberg\u00e4ngen, die Optimierung von Hash-Funktionen, die Erh\u00f6hung der Gr\u00f6\u00dfe von PCAP-Daten-Lade-Puffern und die \u00dcberarbeitung der Thread-Synchronisation. Auch die Startzeit von Suricata konnte reduziert werden, indem Caching, erweiterte Portgruppierung und ein verbesserter Algorithmus zur IP-Adressen-Ersatz verwendet wurden.<\/li>\n
Die Handler f\u00fcr LibHTP, FTP, ENIP sowie der Code f\u00fcr das Parsen von MIME-Typen, die Operation byte_extract und die Decodierung von base64 wurden in der Programmiersprache Rust neu geschrieben.<\/li>\n
Unterst\u00fctzung f\u00fcr die Protokolle DoH (DNS \u00fcber HTTPS), LDAP, mDNS (Multicast DNS) und Websocket wurde hinzugef\u00fcgt.<\/li>\n
Neue Module zum Dekodieren und Protokollieren f\u00fcr die Protokolle ARP und POP3 wurden hinzugef\u00fcgt.<\/li>\n
Die Analyse von SDP-Traffic \u00fcber SIP und SIP \u00fcber TCP wurde implementiert.<\/li>\n
Die M\u00f6glichkeiten des Protokollerkennungs-Engines und der Regelgenerierung wurden erweitert. F\u00fcr die Regeln wurden die Schl\u00fcsselw\u00f6rter LDAP, MIME\/EMAIL, vlan.id, DNS, SMTP, FTP, TLS, tcp.wscale, pgsql.query, from_base64, entropy, luaxform und mDNS implementiert. Transaktionsregeln wurden hinzugef\u00fcgt, um beide Richtungen einer Transaktion in einer Regel zu beschreiben.<\/li>\n<\/ul>\n
Besonderheiten von Suricata:<\/p>\n
\n
\n
\n
Verwendung eines einheitlichen Formats f\u00fcr die Ausgabe von Pr\u00fcfergebnissen, das auch im Snort-Projekt genutzt wird, wodurch die Verwendung standardm\u00e4\u00dfiger Analysetools wie barnyard2 erm\u00f6glicht wird. Integration mit Produkten wie BASE, Snorby, Sguil und SQueRT ist m\u00f6glich. Unterst\u00fctzung f\u00fcr die Ausgabe im PCAP-Format;<\/li>\n
Unterst\u00fctzung f\u00fcr die automatische Erkennung von Protokollen (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB usw.), die es erm\u00f6glicht, in Regeln nur den Protokolltyp ohne Bindung an die Portnummer zu verwenden (zum Beispiel HTTP-Verkehr auf einem nicht standardm\u00e4\u00dfigen Port blockieren). Decoder f\u00fcr Protokolle von HTTP, SSL<\/a>, TLS, SMB, SMB2, DCERPC, SMTP, FTP, LDAP und SSH;<\/li>\n