Objavljen je sustav za analizu prometa i detekciju upada u mrežu Zeek 8.0.0, prethodno distribuiran pod nazivom Bro. Zeek je platforma za analizu prometa prvenstveno usmjerena na praćenje događaja povezanih sa sigurnošću, ali nije ograničena na ovu primjenu. Kod sustava napisan je u C++ i distribuira se pod BSD licencom.
Platforma pruža module za analizu i parsiranje različitih mrežnih protokola na razini aplikacije koji uzimaju u obzir status veze i omogućuju formiranje detaljnog dnevnika (arhive) mrežne aktivnosti. Za pisanje scenarija praćenja i otkrivanje anomalija nudi se jezik specifičan za domenu, uzimajući u obzir specifičnosti određenih infrastruktura. Sustav je optimiziran za korištenje u mrežama velike propusnosti. Osiguran je API za integraciju s informacijskim sustavima trećih strana i razmjenu podataka u stvarnom vremenu.
U novom broju Zeeka:
- Dodana je mogućnost konfiguriranja identifikatora tuplea mrežnog toka putem dodataka. Kako bi se izbjegli sudari prilikom dijeljenja tokova u složenim mrežama, uz to... IP adrese, brojevi portova i protokol sada mogu uzeti u obzir dodatni kontekst, kao što su VLAN oznake ili enkapsulirani identifikatori prometa za VXLAN i Geneve.
- Novi backend klastera temeljen na ZeroMQ-u, koji definira način interakcije između čvorova klastera i format serijalizacije podataka, spreman je za upotrebu na produkcijskim sustavima. Broker backend se i dalje koristi prema zadanim postavkama, ali u budućnosti se planira prijelaz na zadani ZeroMQ backend, koji vam omogućuje da se riješite proxyja prilikom distribucije broadcast poruka između čvorova. Prikupljanje telemetrije o radu klastera je pojednostavljeno, što vam omogućuje praćenje opterećenja čvorova, bez obzira na korišteni backend.
- Dodan je parser za Redis DBMS protokol i omogućeno je zapisivanje presretnutih operacija.
- SMTP analizator podržava izdvajanje poruka pošte (RFC 822) iz prometa i njihovo prosljeđivanje analizatoru datoteka, koji se može koristiti za spremanje presretnutih e-poruka na disk kao datoteka u .eml formatu.
- Dodana je podrška za AUTH TLS proširenje FTP analizatoru.
- DNS analizator sada prepoznaje NAPTR zapise.
- PPPoE analizator sada ima mogućnost prikaza ID-ova sesija.
- Umjesto odvojenih zapisnika analyzer.log i dpd.log, koristi se zajednički zapisnik analyzer.log.
- Generator protokola i parsera datoteka ažuriran je na Spicy 1.14, što uvodi nove optimizacije i uklanja nekorištene parametre funkcija.
- Sada je moguće promijeniti format zapisivanja pomoću paketa logschema (na primjer, možete koristiti JSON ili CSV umjesto tradicionalnih tekstualnih zapisa).
- Izrada projekta sada zahtijeva kompajler koji podržava standard C++20. Minimalno podržane verzije su GCC 10, Clang 8 i Visual Studio 2022.
Osim toga, možemo primijetiti izlazak Nmap 7.98 skenera mrežne sigurnosti, dizajniranog za reviziju mreže i identifikaciju aktivnih mrežnih usluga. Kod projekta dostupan je pod NPSL (Nmap Public Source License), temeljenom na GPLv2 licenci, koja je dopunjena preporukama (ne zahtjevima) za korištenje OEM programa licenciranja i kupnju komercijalne licence ako proizvođač ne želi otvoriti kod svog proizvoda u skladu sa zahtjevima copyleft licence ili namjerava integrirati Nmap u proizvode nekompatibilne s GPL-om.
Nmap 7.98 prvenstveno sadrži ispravke grešaka. Na primjer, ruši se pri korištenju nmapa s nekim VPN-sučelja. Među funkcionalnim promjenama, vrijedno je spomenuti dodavanje NSE vezanja za korištenje libssh2 funkcija u Nmap skriptama za automatizaciju. DNS resolver je optimiziran. U biblioteku tls.lua dodana je podrška za šifre korištene u TLSv1.3, uključujući post-kvantne pakete šifri. Ažurirani su OpenSSL 3.0.17, Lua 5.4.8 i Npcap 1.83, koji se koriste u konačnim verzijama.
Izvor: opennet.ru
