Suricata 6.0 intrusioak detektatzeko sistemaren kaleratzea

После года разработки организация OISF (Open Information Security Foundation) argitaratuko sareko intrusioak detektatzeko eta prebenitzeko sistema askatzea Meerkat 6.0, hainbat trafiko mota ikuskatzeko baliabidea eskaintzen duena. Suricata konfigurazioetan, zilegi da erabiltzea sinadura oinarriak, Snort proiektuak garatua, baita arau multzoak ere Sortzen ari diren mehatxuak и Emerging Threats Pro. Proiektuaren iturburu kodea barreiatu GPLv2 lizentziapean.

Aldaketa nagusiak:

• Начальная поддержка HTTP/2.
• Поддержка протоколов RFB и MQTT, включая возможность определения протокола и ведения лога.
• Возможность ведения лога для протокола DCERPC.
• Значительное повышение производительности ведения лога через подсистему EVE, обеспечивающую вывод событий в формате JSON. Ускорение достигнуто благодаря задействованию нового построитель сток JSON, написанного на языке Rust.
• Повышена масштабируемость системы логов EVE и реализована возможность ведения отельного лог-файла на каждый поток.
• Возможность определения условий для сброса сведений в лог.
• Возможность отражения MAC-адресов в логе EVE и повышение детализации лога DNS.
• Повышение производительности движка обработки потоков (flow engine).
• Поддержка идентификации реализаций SSH (HATXA).
• Реализация декодировщика туннелей GENEVE.
• На языке Rust переписан код для обработки ASN.1, DCERPC и SSH. На Rust также реализована поддержка новых протоколов.
• В языке определения правил в ключевом слове byte_jump добавлена поддержка параметра from_end, а в byte_test — параметра bitmask. Реализовано ключевое слово pcrexform, позволяющее использовать регулярные выражения (pcre) для захвата подстроки. Добавлено преобразование urldecode. Добавлено ключевое слово byte_math.
• Предоставления возможность использования cbindgen для генерации привязок на языках Rust и C.
• Добавлена начальная поддержка плагинов.

Suricataren ezaugarriak:

• Balidazio-emaitzak bistaratzeko formatu bateratua erabiltzea bateratua2, Snort proiektuak ere erabiltzen duena, esate baterako analisi tresna estandarrak erabiltzeko aukera emanez ukuilua2. BASE, Snorby, Sguil eta SQueRT produktuekin integratzeko gaitasuna. Irteerarako euskarria PCAP formatuan;
• Protokoloak automatikoki hautemateko euskarria (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB, etab.), arauetan soilik protokolo motaren arabera jardutea ahalbidetzen duena, ataka zenbakiari erreferentziarik egin gabe (adibidez. , estandar ez den ataka batean HTTP trafikoa blokeatzeko). HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP eta SSH protokoloetarako deskodetzaileak;
• HTTP trafikoa aztertzeko sistema indartsua, Mod_Security proiektuaren egileak sortutako HTP liburutegi berezi bat erabiltzen duena HTTP trafikoa analizatzeko eta normalizatzeko. Modulu bat dago eskuragarri HTTP garraio-transferentziaren erregistro zehatza mantentzeko, erregistroa formatu estandarrean gordetzen da
  Apache. HTTP protokoloaren bidez transferitutako fitxategiak ateratzea eta egiaztatzea onartzen da. Konprimitutako edukia analizatzeko laguntza. URI, cookie, goiburuen, erabiltzaile-agentearen, eskaera/erantzun gorputzaren arabera identifikatzeko gaitasuna;

• Trafikoa atzemateko hainbat interfazeren laguntza, besteak beste, NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Dagoeneko gordetako fitxategiak PCAP formatuan azter daitezke;
• Errendimendu handia, ohiko ekipoetan 10 gigabit/seko korronteak prozesatzeko gaitasuna.
• Errendimendu handiko maskara bat etortzeko motorra IP helbide multzo handiekin. Maskara eta adierazpen erregular bidez edukia aukeratzeko laguntza. Fitxategiak trafikotik bereiztea, izenaren, motaren edo MD5 checksumaren bidez identifikatzea barne.
• Aldagaiak arauetan erabiltzeko gaitasuna: korrontearen informazioa gorde dezakezu eta gero beste arau batzuetan erabil dezakezu;
• YAML formatua erabiltzea konfigurazio fitxategietan, eta horrek argitasuna mantentzea ahalbidetzen du makina prozesatzeko erraztasunarekin;
• IPv6 euskarria osoa;
• Paketeen desfragmentazio eta birmuntaketa automatikorako motor integratua, korronteen prozesamendu zuzena bermatzeko aukera ematen duena, paketeak iristen diren ordena edozein dela ere;
• Tunel-protokoloetarako euskarria: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
• Pakete deskodetzeko laguntza: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
• TLS/SSL konexioetan agertzen diren gako eta ziurtagirien erregistro-modua;
• Lua script-ak idazteko gaitasuna, analisi aurreratuak emateko eta arau estandarrak nahikoa ez diren trafiko motak identifikatzeko behar diren funtzio osagarriak ezartzeko.

Iturria: opennet.ru