Dopo sette anni dalla creazione del precedente importante ramo del rilascio del sistema di analisi del traffico e rilevamento delle intrusioni di rete , precedentemente distribuito con il nome di Bro. Questa è la prima versione significativa dopo , effettuata poiché il nome Bro era associato a una controcultura marginale e non come intendevano gli autori come riferimento al 'grande fratello' del romanzo di George Orwell '1984'. Il codice del sistema è scritto in C++ e sotto licenza BSD.
Zeek è una piattaforma per l'analisi del traffico, mirata principalmente al monitoraggio degli eventi relativi alla sicurezza, ma non limitata a questo utilizzo. Sono forniti moduli per l'analisi e l'interpretazione di vari protocolli di rete a livello applicativo, che considerano lo stato delle connessioni e consentono di generare un registro dettagliato (archivio) dell'attività di rete. Viene offerto un linguaggio orientato agli oggetti per scrivere script di monitoraggio e rilevamento delle anomalie, tenendo conto delle specificità delle infrastrutture specifiche. Il sistema è ottimizzato per l'uso in reti con elevata larghezza di banda. È fornito un'API per l'integrazione con sistemi informativi di terze parti e lo scambio di dati in tempo reale.
In :
- È stato completamente riscritto l'analizzatore per il protocollo NTP e aggiunto un nuovo analizzatore per MQTT. Sono state ampliate le capacità degli analizzatori per DNS, RDP, SMB e TLS. Per DNS è garantita l'interpretazione dei record SPF, e per DNSSEC — RRSIG, DNSKEY, DS, NSEC e NSEC3, con l'individuazione degli eventi correlati. Nell'analizzatore SMB è stata aggiunta la supporto per il protocollo SMB 3.x, e per TLS, il supporto per TLS 1.3;
- È stata implementata la supporto per la deincapsulazione dei flussi trasmessi all'interno dei tunnel VXLAN;
- È stato aggiunto il supporto per i link di tipo NFLOG;
- È stata aggiunta la possibilità di salvare nel registro i dati estratti in codifica UTF8;
- Nel linguaggio degli script è stato aggiunto il supporto per le chiusure per le funzioni anonime, è stato aggiunto l'operatore di iterazione delle tabelle in formato chiave-valore ('for ( key, value in t )'), sono state implementate le operazioni di slicing dei vettori in stile Python ('v[2:4]'), è stata proposta una nuova struttura paraglob per una rapida corrispondenza delle maschere di stringa in grandi set di dati binari.
- Tutte le occorrenze del nome «bro» nei percorsi dei file, nelle impostazioni, nei pacchetti, negli script, nei namespace e nelle funzioni sono state sostituite con «zeek» (il supporto per i nomi precedenti è mantenuto per garantire la compatibilità retroattiva). Il gestore dei pacchetti bro-pkg è stato rinominato in zkg.
Fonte: opennet.ru
