Dopo un anno di sviluppo, l'organizzazione OISF (Open Information Security Foundation) rilascio del sistema di rilevamento e prevenzione delle intrusioni di rete , che fornisce strumenti per l'ispezione di vari tipi di traffico. Nelle configurazioni di Suricata è possibile utilizzare , sviluppata dal progetto Snort, così come i set di regole e . I codici sorgente del progetto è sotto licenza GPLv2.
Principali modifiche:
- Supporto iniziale per HTTP/2.
- Supporto per i protocolli RFB e MQTT, inclusa la possibilità di identificare il protocollo e di registrarlo.
- Possibilità di registrare per il protocollo DCERPC.
- Significativo aumento delle prestazioni della registrazione tramite la sottosistema EVE, che consente l'output degli eventi in formato JSON. L'accelerazione è stata raggiunta grazie all'implementazione di un nuovo costruttore JSON, scritto in linguaggio Rust.
- Migliorata la scalabilità del sistema di registrazione EVE e implementata la possibilità di creare un file di log separato per ogni flusso.
- Possibilità di definire condizioni per il reset delle informazioni nel log.
- Possibilità di riflettere gli indirizzi MAC nel log EVE e migliorare la granularità del log DNS.
- Aumento delle prestazioni del motore di elaborazione dei flussi (flow engine).
- Supporto per l'identificazione delle implementazioni SSH ().
- Implementazione di un decoder per tunnel GENEVE.
- Riscritto in Rust il codice per l'elaborazione , DCERPC e SSH. Anche il supporto per nuovi protocolli è stato implementato in Rust.
- Nel linguaggio di definizione delle regole, nella parola chiave byte_jump è stata aggiunta la supporto per il parametro from_end, e in byte_test – per il parametro bitmask. Implementata la parola chiave pcrexform, che consente l'uso delle espressioni regolari (pcre) per catturare le sottostringhe. Aggiunto il supporto per la trasformazione urldecode. Aggiunta la parola chiave byte_math.
- Fornita la possibilità di utilizzare cbindgen per generare binding in linguaggi Rust e C.
- Aggiunto supporto iniziale per i plugin.
Caratteristiche di Suricata:
- Uso di un formato unificato per l'output dei risultati della verifica , anche utilizzato dal progetto Snort, che consente di utilizzare strumenti standard per l'analisi, come . Possibilità di integrazione con prodotti come BASE, Snorby, Sguil e SQueRT. Supporto per l'output in formato PCAP;
- Supporto per il riconoscimento automatico dei protocolli (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB, ecc.) che consente di operare nelle regole solo in base al tipo di protocollo, senza legarlo al numero di porta (ad esempio, bloccare il traffico HTTP su una porta non standard). Presenza di decoder per i protocolli HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP e SSH;
- Un potente sistema di analisi del traffico HTTP che utilizza una libreria speciale HTP, creata dall'autore del progetto Mod_Security, per l'interpretazione e la normalizzazione del traffico HTTP. È disponibile un modulo per la registrazione dettagliata delle trasmissioni HTTP transitore, con log salvati nel formato standard;
Apache. Supporta l'estrazione e la verifica dei file trasmessi tramite il protocollo HTTP. Supporta l'interpretazione del contenuto compresso. Possibilità di identificazione tramite URI, cookie, intestazioni, user-agent, corpo della richiesta/risposta; - Supporto per diverse interfacce per l'acquisizione del traffico, inclusi NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. È possibile analizzare file già salvati in formato PCAP;
- Elevata prestazione, capacità di elaborare flussi fino a 10 gigabit/sec su hardware standard.
- Meccanismo di corrispondenza ad alte prestazioni con grandi insiemi di indirizzi IP. Supporto per l'estrazione di contenuti tramite maschere e espressioni regolari. Estrazione di file dal traffico, inclusa l'identificazione per nome, tipo o checksum MD5.
- Possibilità di utilizzare variabili nelle regole: è possibile salvare informazioni dal flusso e utilizzarle successivamente in altre regole;
- Utilizzo del formato YAML nei file di configurazione, che consente di mantenere la chiarezza insieme alla facilità di elaborazione automatica;
- Supporto completo per IPv6;
- Motore incorporato per la deframmentazione automatica e la ricostruzione dei pacchetti, che garantisce un'elaborazione corretta dei flussi, indipendentemente dall'ordine di ricezione dei pacchetti;
- Supporto per protocolli di tunneling: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
- Supporto per la decodifica dei pacchetti: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
- Modalità di registrazione delle chiavi e dei certificati coinvolti nelle connessioni TLS/SSL;
- La possibilità di scrivere script in linguaggio Lua per garantire un'analisi avanzata e implementare ulteriori funzionalità necessarie per identificare i tipi di traffico per cui le regole standard non sono sufficienti.
Fonte: opennet.ru
