{"id":138900,"date":"2025-07-10T05:12:03","date_gmt":"2025-07-10T03:12:03","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/dostupna-sistema-obnaruzheniya-atak-suricata-8-0"},"modified":"2026-02-08T16:48:26","modified_gmt":"2026-02-08T14:48:26","slug":"dostupna-sistema-obnaruzheniya-atak-suricata-8-0","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/dostupna-sistema-obnaruzheniya-atak-suricata-8-0","title":{"rendered":"Das System zur Angriffserkennung Suricata 8.0 ist verf\u00fcgbar.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Nach zwei Jahren Entwicklung hat die Organisation OISF (Open Information Security Foundation) die Version 8.0 des Intrusion Detection and Prevention Systems Suricata ver\u00f6ffentlicht, das Mittel zur Inspektion verschiedener Traffic-Typen bereitstellt. In den Konfigurationen von Suricata ist die Verwendung der von dem Projekt Snort entwickelten Signaturdatenbank sowie der Regeln von Emerging Threats und Emerging Threats Pro zul\u00e4ssig. Der Quellcode des Projekts wird unter der GPLv2-Lizenz verbreitet.<\/p>\n
Haupt\u00e4nderungen:<\/p>\n
\n
Eine experimentelle M\u00f6glichkeit zur Nutzung von Suricata als Firewall wurde hinzugef\u00fcgt. Der Firewall-Modus erm\u00f6glicht die Verwendung eines Dialekts der Inspektionssprache zur Filterung von Netzwerkpaketen.<\/li>\n
Die M\u00f6glichkeit, Skripte in der Sprache Lua zu schreiben, wurde \u00fcberarbeitet. Der Code-Basis wurde ein Lua 5.4-Interpreter hinzugef\u00fcgt, der in einer Sandbox-Umgebung l\u00e4uft, die die Regeln f\u00fcr Lua (z. B. ist das Schreiben in Dateien oder das Erstellen von Netzwerksockets aus den Regeln heraus nicht m\u00f6glich) einschr\u00e4nkt.<\/li>\n
Es wurde die M\u00f6glichkeit zur dynamischen (zur Laufzeit) Registrierung von Plugins mit Protokollanalysatoren, Detektoren und Komponenten f\u00fcr die Protokollierung bereitgestellt.<\/li>\n
Es wurden erhebliche Leistungsoptimierungen vorgenommen, die verschiedene Aspekte der Funktionsweise der Engine beschleunigt haben, einschlie\u00dflich der Protokollbestimmung, Regelbeladung und Initialisierung. Die Beschleunigung wird durch die Vorhersage von \u00dcberg\u00e4ngen, die Optimierung der Hash-Funktionen, die Erh\u00f6hung der Gr\u00f6\u00dfe der Daten-Paket-Puffer im PCAP-Format und die \u00dcberarbeitung der Thread-Synchronisation erreicht. Zudem konnte die Startzeit von Suricata verk\u00fcrzt werden, indem Caching, erweiterte Portgruppenbildung und ein verbesserter Algorithmus zur Substitution von IP-Adressen verwendet wurden.<\/li>\n
Die Handler f\u00fcr LibHTP, FTP, ENIP sowie der Code zur Analyse von MIME-Typen, die Operationen byte_extract und die base64-Dekodierung wurden in Rust neu geschrieben.<\/li>\n
Es wurde Unterst\u00fctzung f\u00fcr die Protokolle DoH (DNS \u00fcber HTTPS), LDAP, mDNS (Multicast DNS) und Websocket hinzugef\u00fcgt.<\/li>\n
Neue Dekodiere- und Protokollierungs-Module f\u00fcr die Protokolle ARP und POP3 wurden hinzugef\u00fcgt.<\/li>\n
Der Verkehr des SDP \u00fcber SIP und SIP \u00fcber TCP wurde analysiert.<\/li>\n
Die Funktionen der Protokollbestimmung und Regelbildung der Engine wurden erweitert. F\u00fcr die Regeln wurden die Schl\u00fcsselw\u00f6rter LDAP, MIME\/EMAIL, vlan.id, DNS, SMTP, FTP, TLS, tcp.wscale, pgsql.query, from_base64, entropy, luaxform und mDNS implementiert. Transaktionale Regeln wurden hinzugef\u00fcgt, die es erm\u00f6glichen, beide Richtungen einer Transaktion in einer Regel zu beschreiben.<\/li>\n<\/ul>\n
Besonderheiten von Suricata:<\/p>\n
\n
\n
\n
Verwendung zur Ausgabe von Pr\u00fcfergebnissen im einheitlichen Format Unified2, das auch im Snort-Projekt verwendet wird, was die Nutzung standardisierter Analysewerkzeuge wie barnyard2 erm\u00f6glicht. Integration mit den Produkten BASE, Snorby, Sguil und SQueRT. Unterst\u00fctzung der Ausgabe im PCAP-Format;<\/li>\n
Unterst\u00fctzung der automatischen Protokollerkennung (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB usw.), die es erm\u00f6glicht, in Regeln nur den Protokolltyp ohne Bindung an eine Portnummer zu verwenden (zum Beispiel HTTP-Verkehr auf einem nicht standardm\u00e4\u00dfigen Port zu blockieren). Verf\u00fcgbarkeit von Decodierern f\u00fcr die Protokolle HTTP, SSL<\/a>, TLS, SMB, SMB2, DCERPC, SMTP, FTP, LDAP und SSH;<\/li>\n