È disponibile il sistema di rilevamento degli attacchi Suricata 5.0

Organizzazione OISF (Open Information Security Foundation) ha pubblicato rilascio del sistema di rilevamento e prevenzione delle intrusioni di rete Suricata 5.0, che fornisce strumenti per ispezionare vari tipi di traffico. Nelle configurazioni di Suricata è consentito l'utilizzo di un database di firme, sviluppato dal progetto Snort, così come di set di regole Emerging Threats e Emerging Threats Pro. I sorgenti del progetto sono distribuiti è sotto licenza GPLv2.

Variazioni principali:

• Sono stati introdotti nuovi moduli di analisi e registrazione per i protocolli
  RDP, SNMP e SIP, scritti in linguaggio Rust. Nel modulo per l'analisi FTP è stata aggiunta la possibilità di registrare tramite il sottosistema EVE, che fornisce l'uscita degli eventi in formato JSON;
• In aggiunta al supporto per il metodo di identificazione dei client TLS JA3, è stato aggiunto il supporto per il metodo JA3S, che permette di determinare, sulla base delle caratteristiche della negoziazione delle connessioni e dei parametri definiti, quale software viene utilizzato per stabilire la connessione (ad esempio, consente di identificare l'uso di Tor e altre applicazioni standard). JA3 consente di identificare i client, mentre JA3S identifica i server. I risultati dell'identificazione possono essere utilizzati nel linguaggio di definizione delle regole e nei log;
• È stata aggiunta una funzione sperimentale di corrispondenza con campioni di grandi set di dati, realizzata tramite nuove operazioni dataset e datarep. Ad esempio, la possibilità è applicabile per cercare maschere in grandi liste nere contenenti milioni di record;
• In modalità di ispezione HTTP è stata garantita una copertura completa di tutte le situazioni descritte nel set di test HTTP Evader (ad esempio, copre i metodi utilizzati per nascondere attività dannose nel traffico);
• Gli strumenti di sviluppo dei moduli in linguaggio Rust sono stati spostati da opzioni a funzioni standard obbligatorie. In futuro si prevede di ampliare l'uso di Rust nel codice del progetto e sostituire gradualmente i moduli con analoghi sviluppati in Rust;
• Il motore di identificazione dei protocolli è stato migliorato per aumentare la precisione e gestire i flussi di traffico asincroni;
• Nel log EVE è stato aggiunto il supporto per un nuovo tipo di registrazione "anomaly", in cui vengono salvati eventi atipici rilevati durante la decodifica dei pacchetti. In EVE è stata inoltre ampliata la riflessione delle informazioni su VLAN e interfacce di cattura del traffico. È stata aggiunta l'opzione per salvare tutti gli header HTTP nei registri http del log EVE;
• Nei gestori basati su eBPF è stata implementata il supporto per i meccanismi hardware di accelerazione della cattura dei pacchetti. L'accelerazione hardware è attualmente limitata alle schede di rete Netronome, ma presto sarà disponibile anche per altre apparecchiature;
• Il codice per la cattura del traffico è stato riscritto utilizzando il framework Netmap. È stata aggiunta la possibilità di sfruttare le funzionalità avanzate di Netmap, come lo switch virtuale; VALE;
• È stata aggiunta supporto per il nuovo schema di definizione delle parole chiave per i "buffer appiccicosi" (Sticky Buffers). Il nuovo schema è definito nel formato "protocollo.buffer", ad esempio, per l'ispezione dell'URI la parola chiave sarà "http.uri" invece di "http_uri";
• Tutto il codice Python utilizzato è stato controllato per la compatibilità con
  Python 3;
• È stato interrotto il supporto per l'architettura Tilera, il log testuale dns.log e il vecchio log files-json.log.

Caratteristiche di Suricata:

• Utilizzo di un formato unificato per l'output dei risultati della verifica Unified2, utilizzato anche dal progetto Snort, che consente di utilizzare strumenti standard per l'analisi, come barnyard2. Possibilità di integrazione con i prodotti BASE, Snorby, Sguil e SQueRT. Supporto per l'output nel formato PCAP;
• Supporto per la rilevazione automatica dei protocolli (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB, ecc.), che consente di lavorare nelle regole solo con il tipo di protocollo, senza legami con il numero di porta (ad esempio, bloccare il traffico HTTP su una porta non standard). Disponibilità di decoder per i protocolli HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP e SSH;
• Sistema potente per l'analisi del traffico HTTP, che utilizza una libreria speciale HTP, creata dall'autore del progetto Mod_Security, per il parsing e la normalizzazione del traffico HTTP. È disponibile un modulo per tenere un log dettagliato delle transazioni HTTP, il log è salvato in un formato standard
  Apache. Supporta l'estrazione e la verifica dei file trasmessi tramite il protocollo HTTP. Supporto per l'analisi dei contenuti compressi. Possibilità di identificazione tramite URI, Cookie, intestazioni, user-agent, corpo della richiesta/riposta;
• Supporto per diverse interfacce per la cattura del traffico, inclusi NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Possibilità di analizzare file già salvati in formato PCAP;
• Elevate prestazioni, con capacità di gestire flussi fino a 10 gigabit/sec su hardware standard.
• Meccanismo di corrispondenza ad alta capacità basato su maschere con grandi insiemi di indirizzi IP. Supporto per l'estrazione di contenuti tramite maschere e espressioni regolari. Estrazione di file dal traffico, inclusa l'identificazione per nome, tipo o checksum MD5.
• Possibilità di utilizzare variabili nelle regole: è possibile salvare informazioni dal flusso e utilizzarle in seguito in altre regole;
• Utilizzo del formato YAML nei file di configurazione, il che consente di mantenere la chiarezza durante l'elaborazione automatica;
• Supporto completo per IPv6;
• Motore integrato per la deframmentazione automatica e la ricostruzione dei pacchetti, consentendo un'elaborazione corretta dei flussi, indipendentemente dall'ordine di ricezione dei pacchetti;
• Supporto per protocolli di tunneling: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
• Supporto per la decodifica dei pacchetti: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
• Modalità di registrazione di chiavi e certificati coinvolti nelle connessioni TLS/SSL;
• Possibilità di scrivere script in linguaggio Lua per garantire un'analisi avanzata e implementare funzionalità aggiuntive necessarie per identificare tipi di traffico per i quali le regole standard non sono sufficienti.

Fonte: opennet.ru