OISF (Nyílt Információbiztonsági Alapítvány) szervezet kiadta a hálózati behatolás észlelő és megelőző rendszert , amely különböző típusú forgalom ellenőrzésére szolgáló eszközöket biztosít. A Suricata konfigurációkban megengedett , amelyet a Snort projekt fejleszt, és a szabálykészletek és . A projekt forráskódja GPLv2 licenc alatt.
Főbb változások:
- Új elemző és naplózási modulok bemutatása a következő protokollokhoz
RDP, SNMP és SIP, Rust nyelven írva. Az FTP elemző modulhoz hozzáadva a naplózás lehetősége az EVE alrendszeren keresztül, amely JSON formátumban adja meg az eseményeket; - A múlt heti kiadásban megjelent JA3 TLS-kliens azonosító módszer támogatása mellett most hozzáadva a támogatás a , módszerhez, amely lehetővé teszi a kapcsolatok kialakításának sajátosságai és a megadott paraméterek alapján a használt szoftver azonosítását (például lehetővé teszi a Tor és egyéb tipikus alkalmazások használatának azonosítását). A JA3 lehetővé teszi az ügyfelek, míg a JA3S a szerverek azonosítását. Az azonosítási eredmények felhasználhatók a szabálynyelvben és a naplókban;
- Hozzáadva egy kísérleti lehetőséget a nagy adathalmazok mintáinak egyeztetésére, amelyet az új műveletek segítségével valósítanak meg. Például, a lehetőség alkalmazható maszkok keresésére nagy fekete listákban, amelyek millió bejegyzést tartalmaznak;
- HTTP-inspektor módban teljes körű lefedettséget biztosít minden olyan helyzetre, amelyet a tesztkészlet (például lefedi a forgalomban rejtett rosszindulatú tevékenységre vonatkozó módszereket) leír;
- A Rust nyelven írt modulok fejlesztésének eszközei kötelező beépített funkciókká váltak. A jövőben a Rust alkalmazásának bővítése és a modulok fokozatos cseréje Rust-ra írt analógokra várható;
- A protokollok azonosító motorjának fejlesztése a pontosság és az aszinkron forgalomfeldolgozás terén javult;
- Az EVE-naplóhoz hozzáadva az «anomaly» típusú új bejegyzések támogatása, amelyekben a csomagok dekódolásakor észlelt szokatlan események kerülnek tárolásra. Az EVE-nél bővítették a VLAN és a forgalom elfogásához kapcsolódó interfészek információinak tükrözését. Hozzáadva a lehetőség, hogy az összes HTTP-fejlécet elmentsék az EVE-napló http-bejegyzéseiben;
- Az eBPF alapú kezelőkben támogatják a csomagok elfogásának hardveres gyorsító mechanizmusait. A hardveres gyorsítás egyelőre a Netronome hálózati adaptereire korlátozódik, de hamarosan más eszközökre is elérhető lesz;
- A kód át lett írva a Netmap keretrendszer használatával történő forgalomfogás érdekében. Lehetőség van a Netmap kiterjesztett funkcióinak használatára, például a virtuális kapcsolóra. ;
- új kulcsszó-azonosító séma támogatása a „ragadó Bufferekhez” (Sticky Buffers). Az új séma a „protokoll.buffér” formátumban van meghatározva, például a URI bevizsgálásához a kulcsszó „http.uri” formában jelenik meg a „http_uri” helyett;
- Az összes használt Python kód kompatibilitása ellenőrizve lett
Python 3; - A Tilera architektúra, a dns.log szöveges napló és a régi files-json.log napló támogatása leállt.
A Suricata jellemzői:
- Az ellenőrzési eredmények megjelenítéséhez egységes formátumot használunk , amelyet a Snort projekt is használ, lehetővé téve ezáltal a szabványos elemzési eszközök, mint például . Integráció lehetősége a BASE, Snorby, Sguil és SQueRT termékekkel. Támogatja a PCAP formátumba való kimenetet;
- Automatikus protokollmeghatározás támogatása (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB stb.), amely lehetővé teszi, hogy a szabályokban csak a protokoll típusát használjuk, portszám kötődés nélkül (például a HTTP forgalom blokkolása nem szabványos porton). HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP és SSH protokollok dekóderjei állnak rendelkezésre;
- Erőteljes HTTP-forgalomelemző rendszer, amely a HTTP-forgalom elemzésére és normalizálására a Mod_Security projekt szerzője által létrehozott HTP könyvtárat használja. Rendelkezésre áll egy modul a tranzit HTTP átkonfigurálások részletes naplózására, a napló szabványos formátumban kerül mentésre.
Apache. Támogatja a HTTP protokollon keresztül átkonfigurált fájlok kinyerését és ellenőrzését. Támogatja a tömörített tartalom elemzését. Lehetséges az azonosítás URI, Cookie, fejlécek, user-agent és a kérés/válasz törzs alapján; - A forgalom elfogására különböző interfészek támogatása, beleértve az NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING-t. Lehetséges a már mentett PCAP formátumú fájlok elemzése;
- Magas teljesítmény, képes kezelni akár 10 gigabit/másodperc sebességű adatfolyamokat is szokványos hardveren.
- Magas teljesítményű maszkos illesztési mechanizmus nagy IP-címhalmazokhoz. A tartalom maszk és reguláris kifejezések szerinti kiemelésének támogatása. Fájlok kiemelése a forgalomból, azok azonosítása név, típus vagy MD5 ellenőrző összeg alapján.
- A változók használatának lehetősége a szabályokban: lehetőség van az adatfolyamból való információk megőrzésére és azok későbbi felhasználására más szabályokban;
- YAML formátum használata a konfigurációs fájlokban, ami áttekinthetőséget biztosít a gépi feldolgozás könnyedsége mellett;
- Teljes támogatás IPv6-hoz;
- Beépített motor az automatikus töredezettségmentesítéshez és csomagok újbóli összeszereléséhez, amely lehetővé teszi az adatfolyamok helyes feldolgozását, függetlenül a csomagok érkezési sorrendjétől;
- Alagútképző protokollok támogatása: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
- Csomagok dekódolásának támogatása: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
- A TLS/SSL kapcsolatokban szereplő kulcsok és tanúsítványok naplózási módja;
- Lua nyelvű szkriptek írásának lehetősége kiterjesztett elemzés és további funkciók megvalósítása érdekében, amelyek szükségesek a standard szabályokkal nem elegendő forgalomtípusok meghatározásához.
Forrás: opennet.ru
