Après sept ans depuis la formation de la précédente branche significative deuxième version du système d'analyse du trafic et de détection d'intrusions réseau , qui était auparavant distribué sous le nom de Bro. Il s'agit de la première version majeure après , effectué car le nom Bro était associé à une sous-culture marginale plutôt qu'à une allusion au « grand frère » du roman de George Orwell « 1984 ». Le code du système est écrit en C++ et sous licence BSD.
Zeek est une plateforme d'analyse du trafic, principalement orientée vers le suivi des événements liés à la sécurité, mais ne se limitant pas à cette utilisation. Des modules sont fournis pour analyser et parser divers protocoles réseau du niveau applicatif, prenant en compte l'état des connexions et permettant de générer un journal détaillé (archive) de l'activité réseau. Un langage centré sur le sujet est proposé pour écrire des scripts de surveillance et de détection des anomalies en tenant compte des spécificités des infrastructures. Le système est optimisé pour une utilisation dans des réseaux à large bande passante. Une API est fournie pour l'intégration avec des systèmes d'information tiers et l'échange de données en temps réel.
Dans :
- Le parseur pour le protocole NTP a été complètement réécrit et un nouveau parseur pour MQTT a été ajouté. Les capacités des parseurs pour DNS, RDP, SMB et TLS ont été étendues. Pour DNS, le parsing des enregistrements SPF a été assuré, tandis que pour DNSSEC, RRSIG, DNSKEY, DS, NSEC et NSEC3 ont été pris en charge, avec mise en évidence des événements associés. Dans le parseur SMB, le support du protocole SMB 3.x a été ajouté, et pour TLS, le support de TLS 1.3 a été intégré;
- Le support de la déconcentration des flux passant par des tunnels VXLAN a été implémenté;
- Le support des liens de type NFLOG a été ajouté;
- Il est désormais possible de sauvegarder dans le journal les données extraites en codage UTF8;
- Le langage de script a été amélioré avec le support des fermetures pour les fonctions anonymes, un opérateur itératif pour les tables au format clé-valeur (« for ( key, value in t ) ») a été ajouté, des opérations de découpage de vecteurs à la manière de Python (« v[2:4] ») ont été mises en œuvre, et une nouvelle structure paraglob a été proposée pour un appariement rapide de masques de chaînes dans de grands ensembles de données binaires;
- Toutes les mentions du nom « bro » dans les chemins de fichiers, paramètres, paquets, scripts, espaces de noms et fonctions ont été remplacées par « zeek » (le support des anciens noms est conservé pour garantir la compatibilité ascendante). Le gestionnaire de paquets bro-pkg a été renommé en zkg.
Source : opennet.ru
