Az OISF (Open Information Security Foundation) egyéves fejlesztés után kiadta a hálózati behatolás észlelő és megelőző rendszert , amely különböző típusú forgalom ellenőrzésére szolgáló eszközöket biztosít. A Suricata konfigurációkban megengedett , amelyet a Snort projekt fejleszt, és a szabálykészletek és . A projekt forráskódja GPLv2 licenc alatt.
Főbb változások:
- Keleti a HTTP/2-hez való kezdeti támogatás.
- Támogatja az RFB és MQTT protokollokat, beleértve a protokol azonosításának és naplózásának lehetőségét.
- Lehetőség van a DCERPC protokoll naplózására.
- Jelentős teljesítménynövekedés a naplózási EVE alrendszeren keresztül, amely JSON formátumban biztosít eseményeket. A gyorsításot új JSON fájlépítő alkalmazásának bevezetésével, amely Rust nyelven íródott, érték el.
- Javult az EVE napló rendszer skálázhatósága, és megvalósult a külön naplófájlok vezetésének lehetősége minden szálhoz.
- Lehetőség a naplóba írási feltételek meghatározására.
- Lehetőség MAC-címek naplózási megjelenítésére az EVE-nél, és a DNS-napló részletességének növelése.
- A folyamatok feldolgozásáért felelős motor (flow engine) teljesítményének növelése.
- Támogatja az SSH megvalósítások azonosítását ().
- A GENEVE alagút dekódoló implementálása.
- Ősvezettek a kód a kezeléséhez , DCERPC és SSH. Rust nyelven új protokollok támogatása is megvalósult.
- A szabályok definíciós nyelvében a byte_jump kulcsszónál hozzáadták a from_end paraméter támogatását, a byte_test kulcsszónál pedig a bitmask paramétert. Megvalósították a pcrexform kulcsszót, amely lehetővé teszi a reguláris kifejezések (pcre) használatát az altérségek rögzítése érdekében. Hozzáadták az urldecode-transzformációt. Hozzáadták a byte_math kulcsszót.
- Lehetőséget biztosít a cbindgen használatára Rust és C nyelveken való kötések generálásához.
- Kezdeti támogatás indult pluginekhez.
A Suricata jellemzői:
- Az ellenőrzési eredmények megjelenítéséhez egységes formátumot használunk , amelyet a Snort projekt is használ, lehetővé téve ezáltal a szabványos elemzési eszközök, mint például . Integráció lehetősége a BASE, Snorby, Sguil és SQueRT termékekkel. Támogatja a PCAP formátumba való kimenetet;
- Automatikus protokollmeghatározás támogatása (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB stb.), amely lehetővé teszi, hogy a szabályokban csak a protokoll típusát használjuk, portszám kötődés nélkül (például a HTTP forgalom blokkolása nem szabványos porton). HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP és SSH protokollok dekóderjei állnak rendelkezésre;
- Erőteljes HTTP-forgalomelemző rendszer, amely a HTTP-forgalom elemzésére és normalizálására a Mod_Security projekt szerzője által létrehozott HTP könyvtárat használja. Rendelkezésre áll egy modul a tranzit HTTP átkonfigurálások részletes naplózására, a napló szabványos formátumban kerül mentésre.
Apache. Támogatja a HTTP protokollon keresztül átkonfigurált fájlok kinyerését és ellenőrzését. Támogatja a tömörített tartalom elemzését. Lehetséges az azonosítás URI, Cookie, fejlécek, user-agent és a kérés/válasz törzs alapján; - A forgalom elfogására különböző interfészek támogatása, beleértve az NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING-t. Lehetséges a már mentett PCAP formátumú fájlok elemzése;
- Magas teljesítmény, képes kezelni akár 10 gigabit/másodperc sebességű adatfolyamokat is szokványos hardveren.
- Magas teljesítményű maszkos illesztési mechanizmus nagy IP-címhalmazokhoz. A tartalom maszk és reguláris kifejezések szerinti kiemelésének támogatása. Fájlok kiemelése a forgalomból, azok azonosítása név, típus vagy MD5 ellenőrző összeg alapján.
- A változók használatának lehetősége a szabályokban: lehetőség van az adatfolyamból való információk megőrzésére és azok későbbi felhasználására más szabályokban;
- YAML formátum használata a konfigurációs fájlokban, ami áttekinthetőséget biztosít a gépi feldolgozás könnyedsége mellett;
- Teljes támogatás IPv6-hoz;
- Beépített motor az automatikus töredezettségmentesítéshez és csomagok újbóli összeszereléséhez, amely lehetővé teszi az adatfolyamok helyes feldolgozását, függetlenül a csomagok érkezési sorrendjétől;
- Alagútképző protokollok támogatása: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
- Csomagok dekódolásának támogatása: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
- A TLS/SSL kapcsolatokban szereplő kulcsok és tanúsítványok naplózási módja;
- Lua nyelvű szkriptek írásának lehetősége kiterjesztett elemzés és további funkciók megvalósítása érdekében, amelyek szükségesek a standard szabályokkal nem elegendő forgalomtípusok meghatározásához.
Forrás: opennet.ru
