Después de siete años desde la formación de la anterior rama significativa lanzamiento del sistema de análisis de tráfico y detección de intrusiones en la red , anteriormente distribuido bajo el nombre de Bro. Esta es la primera versión significativa después de , realizado porque el nombre Bro estaba asociado con una subcultura marginal y no como un guiño a 'Big Brother' de la novela de George Orwell '1984'. El código del sistema está escrito en C++ y bajo licencia BSD.
Zeek es una plataforma para el análisis de tráfico, enfocada principalmente en el seguimiento de eventos relacionados con la seguridad, pero no limitada a esta aplicación. Se proporcionan módulos para el análisis y la interpretación de varios protocolos de red a nivel de aplicación, teniendo en cuenta el estado de las conexiones y permitiendo generar un registro (archivo) detallado de la actividad de la red. Se ofrece un lenguaje orientado a dominios para escribir scripts de monitoreo y detección de anomalías, teniendo en cuenta las particularidades de las infraestructuras específicas. El sistema está optimizado para su uso en redes de gran ancho de banda. Se proporciona una API para integrar con sistemas de información externos y intercambiar datos en tiempo real.
En :
- Se ha reescrito completamente el analizador para el protocolo NTP y se ha añadido un nuevo analizador para MQTT. Se han ampliado las capacidades de los analizadores para DNS, RDP, SMB y TLS. Para DNS se asegura la interpretación de registros SPF, y para DNSSEC — RRSIG, DNSKEY, DS, NSEC y NSEC3, así como la identificación de eventos relacionados. En el analizador SMB se ha añadido soporte para el protocolo SMB 3.x, y para TLS se ha añadido soporte para TLS 1.3;
- Se ha implementado soporte para la desencapsulación de flujos transmitidos dentro de túneles VXLAN;
- Se ha añadido soporte para enlaces del tipo NFLOG;
- Se ha añadido la posibilidad de guardar en el registro los datos extraídos en codificación UTF8;
- Se ha añadido soporte para cierres en el lenguaje de scripts para funciones anónimas, se ha añadido un operador para iterar sobre tablas en formato clave-valor ('for ( key, value in t )'), se han implementado operaciones de segmentación de vectores al estilo de Python ('v[2:4]'), y se ha propuesto una nueva estructura paraglob para una rápida coincidencia de patrones de cadenas en grandes conjuntos de datos binarios;
- Todas las menciones del nombre «bro» en las rutas de archivos, configuraciones, paquetes, scripts, espacios de nombres y funciones han sido reemplazadas por «zeek» (el soporte para los nombres antiguos se ha mantenido para garantizar la compatibilidad hacia atrás). El gestor de paquetes bro-pkg ha sido renombrado a zkg.
Fuente: opennet.ru
