Megjelent a Zeek 8.0.0 forgalomelemző és hálózati behatolás-észlelő rendszer kiadása, amely korábban Bro néven volt ismert. A Zeek egy forgalomelemző platform, amely elsősorban a biztonsággal kapcsolatos események nyomon követésére összpontosít, de nem korlátozódik kizárólag erre a célra. A rendszer kódja C++ nyelven készült, és BSD licenc alatt terjesztik.
A platform modulokat biztosít különböző alkalmazási rétegű hálózati protokollok elemzésére és értelmezésére, figyelembe véve a kapcsolatok állapotát, és lehetővé téve a hálózati tevékenységről készült részletes napló (archívum) létrehozását. Ajánl egy tárgyorientált nyelvet a monitorozási és anomáliák észlelési szkriptek írásához, figyelembe véve a konkrét infrastruktúrák sajátosságait. A rendszer nagy sávszélességű hálózatokban való használatra van optimalizálva. API-t biztosít harmadik fél informatikai rendszerekkel való integrációra és valós idejű adatcserére.
Az új Zeek kiadásban:
- Új lehetőségként bővült a hálózati áramazonosítók (Flow Tuple) pluginek általi testreszabásának lehetősége. Az összetett hálózatokban az áramok elkülönítése során a portszámok és protokollok mellett mostantól további kontextust is figyelembe lehet venni, például VLAN címkéket vagy a VXLAN és Geneve beágyazott forgalom azonosítóit. IP-címek, a portszámok és a protokoll mellett most már további kontextust is figyelembe lehet venni, például VLAN címkéket vagy a VXLAN és Geneve beágyazott forgalom azonosítóit.
- Felkészítették a munkahelyi rendszereken való használatra a ZeroMQ alapú új klaszter backend-et, amely meghatározza a klasztercsomópontok közötti interakciós módot és az adatok sorozatba állításának formátumát. Alapértelmezés szerint a Broker backend továbbra is használatban marad, de a jövőben tervezik a ZeroMQ backend alapértelmezés szerinti bevezetését, amely lehetővé teszi a proxyk elkerülését a közvetítő üzenetek terjesztése során a csomópontok között. Egyszerűsödött a klaszter működéséről szóló telemetria gyűjtése, amely lehetővé teszi a csomópontok terhelésének nyomon követését, függetlenül a használt backend típusától.
- Hozzáadtak egy elemezőt a Redis DBMS protokollhoz, és biztosították a megfigyelt műveletek naplózását.
- Az SMTP elemzőben megvalósították a levelek forgalomból való kiemelésének (RFC 822) támogatását és azok fájlelemzőnek való továbbítását, ami lehetővé teszi a megfigyelt elektronikus levelek lemezre történő mentését .eml fájlok formájában.
- Az FTP elemzőbe beépítették az AUTH TLS kiterjesztés támogatását.
- A DNS elemzőben megvalósult a NAPTR rekordok felismerése.
- A PPPoE elemzőhöz hozzáadva a munkamenetek azonosítóinak megjelenítési lehetősége.
- A külön log fájlok (analyzer.log és dpd.log) helyett egy közös log fájl, az analyzer.log került használatra.
- A protokollok és fájlok elemzésére szolgáló parser generátor frissítve lett a Spicy 1.14 verzióra, amely új optimalizációkat és a felesleges funkcióparaméterek eltávolítását kínálja.
- Lehetőség nyílt a logformátum megváltoztatására a logschema csomag használatával (például JSON vagy CSV használata a hagyományos szöveges logok helyett).
- A projekt összeállításához mostantól C++20 szabványt támogató fordító szükséges. A minimumként támogatott verziók a GCC 10, Clang 8 és Visual Studio 2022.
Érdemes megemlíteni a Nmap 7.98 hálbiztonsági szkenner kiadását, amely a hálózat auditálására és az aktív hálózati szolgáltatások azonosítására lett tervezve. A projekt kódja NPSL (Nmap Public Source License) licenc alatt érhető el, amely a GPLv2 licenc alapjaira épül, kiegészítve ajánlásokkal (nem követelményekkel) az OEM licencelés és a kereskedelmi licencek vásárlásának használatáról, ha a gyártó nem kívánja megnyitni a termék kódját a copyleft licenc követelményeivel összhangban, vagy integrálni kívánja a Nmapot olyan termékekbe, amelyek nem kompatibilisek a GPL-lel.
A Nmap 7.98 verzióban főként hibajavítások találhatók. Például a nmap használatakor az összeomlásokat néhány -felülettel kapcsolatosan megszüntették. VPN-felületek. A funkcionális változások közül kiemelkedik az NSE-borítók hozzáadása a libssh2 funkciók használatára az Nmap automatizált műveleteiben. Optimalizálták a DNS feloldó működését. A tls.lua könyvtárhoz hozzáadva lett a TLSv1.3-ban alkalmazott kódolások támogatása, beleértve a posztkvantum kódolási készleteket. Frissült az OpenSSL 3.0.17, Lua 5.4.8 és Npcap 1.83 verziója, amelyek a kész összesítésekben kerültek felhasználásra.
Forrás: opennet.ru
