Suricata 5.0 हमले का पता लगाने वाली प्रणाली उपलब्ध है

संगठन ओआईएसएफ (ओपन इंफॉर्मेशन सिक्योरिटी फाउंडेशन) प्रकाशित नेटवर्क घुसपैठ का पता लगाने और रोकथाम प्रणाली का विमोचन मीरकैट 5.0, जो विभिन्न प्रकार के यातायात का निरीक्षण करने के लिए उपकरण प्रदान करता है। Suricata कॉन्फ़िगरेशन में इसका उपयोग करना संभव है हस्ताक्षर डेटाबेस, स्नॉर्ट परियोजना द्वारा विकसित, साथ ही नियमों के सेट उभरते खतरे и उभरते खतरे प्रो. परियोजना स्रोत फैलाना GPLv2 के अंतर्गत लाइसेंस प्राप्त।

मुख्य परिवर्तन:

• पार्सिंग और लॉगिंग प्रोटोकॉल के लिए नए मॉड्यूल पेश किए गए हैं
  आरडीपी, एसएनएमपी और एसआईपी जंग में लिखे गए हैं। ईवीई सबसिस्टम के माध्यम से लॉग इन करने की क्षमता को एफ़टीपी पार्सिंग मॉड्यूल में जोड़ा गया है, जो जेएसओएन प्रारूप में इवेंट आउटपुट प्रदान करता है;

• पिछले रिलीज़ में दिखाई देने वाली JA3 TLS क्लाइंट पहचान पद्धति के लिए समर्थन के अलावा, पद्धति के लिए भी समर्थन JA3S, अनुमति कनेक्शन वार्ता की विशेषताओं और निर्दिष्ट मापदंडों के आधार पर, यह निर्धारित करें कि कनेक्शन स्थापित करने के लिए किस सॉफ़्टवेयर का उपयोग किया जाता है (उदाहरण के लिए, यह आपको टोर और अन्य मानक अनुप्रयोगों के उपयोग को निर्धारित करने की अनुमति देता है)। JA3 आपको क्लाइंट परिभाषित करने की अनुमति देता है, और JA3S आपको सर्वर परिभाषित करने की अनुमति देता है। निर्धारण के परिणामों का उपयोग नियम सेटिंग भाषा और लॉग में किया जा सकता है;
• बड़े डेटा सेटों से नमूनों का मिलान करने की प्रायोगिक क्षमता जोड़ी गई, जिसे नए ऑपरेशनों का उपयोग करके कार्यान्वित किया गया डेटासेट और डेटारेप. उदाहरण के लिए, यह सुविधा लाखों प्रविष्टियों वाली बड़ी ब्लैकलिस्ट में मास्क खोजने के लिए लागू है;
• HTTP निरीक्षण मोड परीक्षण सूट में वर्णित सभी स्थितियों का पूर्ण कवरेज प्रदान करता है HTTP चोर (उदाहरण के लिए, ट्रैफ़िक में दुर्भावनापूर्ण गतिविधि को छिपाने के लिए उपयोग की जाने वाली तकनीकों को शामिल किया गया है);
• रस्ट भाषा में मॉड्यूल विकसित करने के उपकरण को विकल्पों से अनिवार्य मानक क्षमताओं में स्थानांतरित कर दिया गया है। भविष्य में, प्रोजेक्ट कोड बेस में रस्ट के उपयोग का विस्तार करने और धीरे-धीरे रस्ट में विकसित एनालॉग्स के साथ मॉड्यूल को बदलने की योजना बनाई गई है;
• सटीकता में सुधार और अतुल्यकालिक ट्रैफ़िक प्रवाह को संभालने के लिए प्रोटोकॉल परिभाषा इंजन में सुधार किया गया है;
• ईवीई लॉग में एक नए "विसंगति" प्रविष्टि प्रकार के लिए समर्थन जोड़ा गया है, जो पैकेट को डिकोड करते समय पता चलने वाली असामान्य घटनाओं को संग्रहीत करता है। ईवीई ने वीएलएएन और ट्रैफिक कैप्चर इंटरफेस के बारे में जानकारी के प्रदर्शन का भी विस्तार किया है। ईवीई http लॉग प्रविष्टियों में सभी HTTP शीर्षलेखों को सहेजने का विकल्प जोड़ा गया;
• ईबीपीएफ-आधारित हैंडलर पैकेट कैप्चर को तेज करने के लिए हार्डवेयर तंत्र के लिए समर्थन प्रदान करते हैं। हार्डवेयर त्वरण वर्तमान में नेट्रोनोम नेटवर्क एडेप्टर तक सीमित है, लेकिन जल्द ही अन्य उपकरणों के लिए उपलब्ध होगा;
• नेटमैप फ्रेमवर्क का उपयोग करके ट्रैफ़िक कैप्चर करने के लिए कोड को फिर से लिखा गया है। वर्चुअल स्विच जैसी उन्नत नेटमैप सुविधाओं का उपयोग करने की क्षमता जोड़ी गई घाटी;
• जोड़ा स्टिकी बफ़र्स के लिए एक नई कीवर्ड परिभाषा योजना के लिए समर्थन। नई योजना को "प्रोटोकॉल.बफ़र" प्रारूप में परिभाषित किया गया है, उदाहरण के लिए, यूआरआई का निरीक्षण करने के लिए, कीवर्ड "http_uri" के बजाय "http.uri" फॉर्म लेगा;
• उपयोग किए गए सभी पायथन कोड की संगतता के लिए परीक्षण किया गया है
  पायथन 3;

• टाइलेरा आर्किटेक्चर, टेक्स्ट लॉग dns.log और पुरानी लॉग फ़ाइलें-json.log के लिए समर्थन बंद कर दिया गया है।

सुरीकाटा की विशेषताएं:

• स्कैन परिणाम प्रदर्शित करने के लिए एकीकृत प्रारूप का उपयोग करना एकीकृत2, जिसका उपयोग स्नॉर्ट प्रोजेक्ट द्वारा भी किया जाता है, जो मानक विश्लेषण टूल जैसे के उपयोग की अनुमति देता है बार्नयार्ड2. BASE, Snorby, Sguil और SQueRT उत्पादों के साथ एकीकरण की संभावना। पीसीएपी आउटपुट समर्थन;
• प्रोटोकॉल (आईपी, टीसीपी, यूडीपी, आईसीएमपी, HTTP, टीएलएस, एफ़टीपी, एसएमबी, आदि) की स्वचालित पहचान के लिए समर्थन, आपको पोर्ट नंबर के संदर्भ के बिना, केवल प्रोटोकॉल प्रकार द्वारा नियमों में काम करने की अनुमति देता है (उदाहरण के लिए, HTTP को ब्लॉक करें) गैर-मानक बंदरगाह पर यातायात)। HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP और SSH प्रोटोकॉल के लिए डिकोडर की उपलब्धता;
• एक शक्तिशाली HTTP ट्रैफ़िक विश्लेषण प्रणाली जो HTTP ट्रैफ़िक को पार्स और सामान्य करने के लिए Mod_Security प्रोजेक्ट के लेखक द्वारा बनाई गई एक विशेष HTP लाइब्रेरी का उपयोग करती है। ट्रांज़िट HTTP ट्रांसफ़र के विस्तृत लॉग को बनाए रखने के लिए एक मॉड्यूल उपलब्ध है; लॉग को एक मानक प्रारूप में सहेजा जाता है
  अमरीका की एक मूल जनजाति। HTTP के माध्यम से प्रेषित फ़ाइलों को पुनर्प्राप्त करना और जांचना समर्थित है। संपीड़ित सामग्री को पार्स करने के लिए समर्थन। यूआरआई, कुकी, हेडर, उपयोगकर्ता-एजेंट, अनुरोध/प्रतिक्रिया निकाय द्वारा पहचानने की क्षमता;

• ट्रैफ़िक अवरोधन के लिए विभिन्न इंटरफ़ेस के लिए समर्थन, जिसमें NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING शामिल हैं। पीसीएपी प्रारूप में पहले से सहेजी गई फ़ाइलों का विश्लेषण करना संभव है;
• उच्च प्रदर्शन, पारंपरिक उपकरणों पर 10 गीगाबिट/सेकंड तक प्रवाह को संसाधित करने की क्षमता।
• आईपी ​​​​पते के बड़े सेट के लिए उच्च-प्रदर्शन मास्क मिलान तंत्र। मास्क और रेगुलर एक्सप्रेशन द्वारा सामग्री का चयन करने के लिए समर्थन। फ़ाइलों को ट्रैफ़िक से अलग करना, जिसमें नाम, प्रकार या एमडी5 चेकसम द्वारा उनकी पहचान शामिल है।
• नियमों में चर का उपयोग करने की क्षमता: आप एक स्ट्रीम से जानकारी सहेज सकते हैं और बाद में इसे अन्य नियमों में उपयोग कर सकते हैं;
• कॉन्फ़िगरेशन फ़ाइलों में YAML प्रारूप का उपयोग, जो आपको मशीन प्रक्रिया में आसान होने के साथ-साथ स्पष्टता बनाए रखने की अनुमति देता है;
• पूर्ण IPv6 समर्थन;
• स्वचालित डीफ़्रेग्मेंटेशन और पैकेटों के पुन: संयोजन के लिए अंतर्निहित इंजन, स्ट्रीम के सही प्रसंस्करण की अनुमति देता है, भले ही पैकेट आने वाले क्रम की परवाह किए बिना;
• टनलिंग प्रोटोकॉल के लिए समर्थन: टेरेडो, आईपी-आईपी, आईपी6-आईपी4, आईपी4-आईपी6, जीआरई;
• पैकेट डिकोडिंग समर्थन: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, ईथरनेट, PPP, PPPoE, रॉ, SLL, VLAN;
• टीएलएस/एसएसएल कनेक्शन के भीतर प्रदर्शित होने वाली लॉगिंग कुंजियों और प्रमाणपत्रों के लिए मोड;
• उन्नत विश्लेषण प्रदान करने और ट्रैफ़िक के प्रकारों की पहचान करने के लिए आवश्यक अतिरिक्त क्षमताओं को लागू करने के लिए लुआ में स्क्रिप्ट लिखने की क्षमता, जिसके लिए मानक नियम पर्याप्त नहीं हैं।

स्रोत: opennet.ru