Dopo sette anni dalla creazione del precedente significativo ramo il rilascio del sistema di analisi del traffico e rilevamento delle intrusioni di rete , precedentemente distribuito con il nome Bro. Questo è il primo rilascio significativo dopo , avvenuta poiché il nome Bro era associato a una sottocultura marginale, piuttosto che come un'intenzione degli autori di richiamare "grande fratello" dal romanzo di George Orwell "1984". Il codice del sistema è scritto in C++ e con licenza BSD.
Zeek è una piattaforma di analisi del traffico, progettata principalmente per il monitoraggio di eventi relativi alla sicurezza, senza limitarsi a questo utilizzo. Sono disponibili moduli per l'analisi e l'interpretazione di vari protocolli di rete a livello applicazione, tenendo conto dello stato delle connessioni e consentendo la creazione di un registro dettagliato (archivio) dell'attività di rete. È fornito un linguaggio orientato agli oggetti per la scrittura di script di monitoraggio e rilevamento delle anomalie, considerando le peculiarità delle infrastrutture specifiche. Il sistema è ottimizzato per l'uso in reti ad alta capacità. È disponibile un'API per l'integrazione con sistemi informativi di terze parti e per lo scambio di dati in tempo reale.
In :
- L'analizzatore per il protocollo NTP è stato completamente riscritto e è stato aggiunto un nuovo analizzatore per MQTT. Sono state ampliate le funzionalità degli analizzatori per DNS, RDP, SMB e TLS. Per DNS è stato garantito il parsing delle registrazioni SPF, mentre per DNSSEC - RRSIG, DNSKEY, DS, NSEC e NSEC3, evidenziando gli eventi correlati. Nell'analizzatore SMB è stata aggiunta la compatibilità con il protocollo SMB 3.x, mentre per TLS è supportato il TLS 1.3;
- È stata implementata la supporto per la deincapsulazione dei flussi trasmessi all'interno dei tunnel VXLAN;
- È stato aggiunto il supporto per collegamenti di tipo NFLOG;
- È stata introdotta la possibilità di registrare i dati estratti in formato UTF8;
- Nel linguaggio di scripting è stato aggiunto il supporto per i closure delle funzioni anonime, è stato introdotto un operatore per il ciclo su tabelle in formato chiave-valore («for ( key, value in t )»), sono state implementate operazioni di slicing dei vettori in stile Python («v[2:4]»), è stata proposta una nuova struttura paraglob per l'abbinamento rapido di pattern delle stringhe in grandi set di dati binari;
- Tutti i riferimenti al nome «bro» nei percorsi dei file, nelle impostazioni, nei pacchetti, negli script, negli spazi dei nomi e nelle funzioni sono stati sostituiti con «zeek» (il supporto per i nomi legacy è mantenuto per garantire la retrocompatibilità). Il gestore pacchetti bro-pkg è stato rinominato in zkg.
Fonte: opennet.ru
