Objavljeno je izdanje sustava za otkrivanje napada Suricata 6.0

Nakon godine razvoja, organizacija OISF (Open Information Security Foundation) objavila izdala je sustav za otkrivanje i sprječavanje mrežnih provale Suricata 6.0, koji pruža sredstva za inspekciju različitih vrsta prometa. U konfiguracijama Suricata moguće je koristiti bazu potpisa, koju razvija projekt Snort, kao i skupove pravila Emerging Threats i Emerging Threats Pro. Izvorni kodovi projekta distribuiraju se pod GPLv2 licencom.

Glavne promjene:

• Početna podrška za HTTP/2.
• Podrška za protokole RFB i MQTT, uključujući mogućnost prepoznavanja protokola i vođenja loga.
• Mogućnost vođenja loga za protokol DCERPC.
• Značajno poboljšanje performansi vođenja loga preko EVE pod sustava, koji osigurava izlaz događaja u JSON formatu. Brzina je postignuta zahvaljujući novom graditelju JSON toka, napisanom na jeziku Rust.
• Povećana skalabilnost sustava logova EVE i implementirana mogućnost vođenja zasebnog log-fajla za svaku nit.
• Mogućnost definiranja uvjeta za resetiranje informacija u log.
• Mogućnost odražavanja MAC adresa u EVE logu i povećanje detaljnosti DNS loga.
• Povećanje performansi motora obrade tokova (flow engine).
• Podrška za identifikaciju implementacija SSH (HASSH).
• Implementacija dekodera tunela GENEVE.
• Kod za obradu ASN.1, DCERPC i SSH je prepisan na jeziku Rust. Također je implementirana podrška za nove protokole.
• U jeziku za definiranje pravila, ključna riječ byte_jump dobila je podršku za parametar from_end, a u byte_test je dodana podrška za parametar bitmask. Implementirana je ključna riječ pcrexform, koja omogućuje korištenje regularnih izraza (pcre) za hvatanje podstringa. Dodana je funkcija urldecode. Dodana je ključna riječ byte_math.
• Omogućena upotreba cbindgen za generiranje veza na jezicima Rust i C.
• Dodana je početna podrška za dodatke.

Značajke Suricate:

• Korištenje za prikaz rezultata provjere jedinstvenog formata Unified2, koji također koristi projekt Snort, što omogućava korištenje standardnih alata za analizu, kao što su barnyard2. Mogućnost integracije s proizvodima BASE, Snorby, Sguil i SQueRT. Podrška za izlaz u PCAP formatu;
• Podrška za automatsko prepoznavanje protokola (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB itd.), koja omogućava upravljanje pravilima samo na temelju tipa protokola, bez vezivanja za broj porta (na primjer, blokiranje HTTP prometa na nestandardnom portu). Prisutnost dekodera za protokole HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP i SSH;
• Moćan sustav analize HTTP prometa, koji koristi posebnu biblioteku HTP za razdvajanje i normalizaciju HTTP prometa, stvorenu od strane autora projekta Mod_Security. Dostupan je modul za vođenje detaljnog loga transitnih HTTP prosljećivanja, log se čuva u standardnom formatu
  Apache. Podržava izdvajanje i provjeru datoteka prenesenih putem HTTP protokola. Podrška za razdvajanje komprimiranog sadržaja. Mogućnost identifikacije po URI, kolačiću, zaglavljima, user-agentu, tijelu zahtjeva/odgovora;
• Podrška za različite sučelje za presretanje prometa, uključujući NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Moguća je analiza već sačuvanih datoteka u PCAP formatu;
• Visoka učinkovitost, sposobnost obrade tokova do 10 gigabita/u sekundi na običnoj opremi.
• Visokoučinkovit mehanizam usporedbe maski s velikim skupovima IP adresa. Podrška za izdvajanje sadržaja prema maski i regularnim izrazima. Izdvajanje datoteka iz prometa, uključujući njihovu identifikaciju po imenu, tipu ili MD5 kontrolnoj sumi.
• Mogućnost korištenja varijabli u pravilima: moguće je pohraniti informacije iz toka i kasnije ih koristiti u drugim pravilima;
• Korištenje YAML formata u datotekama konfiguracije, što omogućava očuvanje preglednosti uz jednostavno strojno obrađivanje;
• Potpuna podrška za IPv6;
• Ugrađeni motor za automatsku defragmentaciju i rekonstrukciju paketa, omogućujući pravilnu obradu tokova, neovisno o redoslijedu dolaska paketa;
• Podrška za protokole tuneliranja: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
• Podrška za dekodiranje paketa: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
• Način vođenja loga ključeva i certifikata koji se pojavljuju unutar TLS/SSL veza;
• Mogućnost pisanja skripti na jeziku Lua za osiguravanje napredne analize i implementaciju dodatnih mogućnosti potrebnih za definisanje vrsta prometa za koje standardna pravila nisu dovoljna.

Izvor: opennet.ru