Organizzazione OISF (Open Information Security Foundation) rilascio del sistema di rilevamento e prevenzione delle intrusioni di rete , che fornisce strumenti per l'ispezione di vari tipi di traffico. Nelle configurazioni di Suricata è possibile utilizzare , sviluppata dal progetto Snort, così come i set di regole e . I codici sorgente del progetto è sotto licenza GPLv2.
Principali modifiche:
- Presentati nuovi moduli di analisi e registrazione per i protocolli
RDP, SNMP e SIP, scritti in linguaggio Rust. Nel modulo per l'analisi FTP è stata aggiunta la possibilità di registrazione tramite il sottosistema EVE, che fornisce l'output degli eventi in formato JSON; - In aggiunta al supporto del metodo di identificazione TLS-client JA3, introdotto nella scorsa versione, è stata aggiunta la supporto al metodo , per determinare quale software viene utilizzato per stabilire la connessione, sulla base delle caratteristiche di negoziazione delle connessioni e dei parametri impostati (ad esempio, consente di identificare l'uso di Tor e altre applicazioni tipiche). JA3 consente di identificare i client, mentre JA3S identifica i server. I risultati dell'identificazione possono essere utilizzati nel linguaggio di regole e nei log;
- È stata aggiunta una funzione sperimentale per il matching con campioni di grandi set di dati, implementata attraverso nuove operazioni . Ad esempio, la funzione è applicabile alla ricerca di maschere in grandi liste nere che contano milioni di voci;
- In modalità di ispezione HTTP, è garantita una copertura completa di tutte le situazioni descritte nel set di test (ad esempio, copre i metodi utilizzati per nascondere nel traffico attività dannose);
- Gli strumenti di sviluppo dei moduli in linguaggio Rust sono stati trasferiti dalle opzioni alle funzionalità obbligatorie standard. In futuro, si prevede di espandere l'uso di Rust nel codice del progetto e sostituire gradualmente i moduli con analoghi sviluppati in Rust;
- Il motore di identificazione dei protocolli è stato migliorato per quanto riguarda l'accuratezza e l'elaborazione dei flussi di traffico asincroni;
- Nel log EVE è stato aggiunto il supporto per un nuovo tipo di registrazione 'anomaly', in cui vengono salvati eventi anomali riscontrati durante la decodifica dei pacchetti. È stata inoltre ampliata la riflessione delle informazioni su VLAN e interfacce di cattura del traffico. È stata aggiunta un'opzione per salvare tutti gli header HTTP nelle registrazioni HTTP del log EVE;
- I gestori basati su eBPF supportano meccanismi hardware per accelerare il capture delle reti. L'accelerazione hardware è attualmente limitata agli adattatori di rete Netronome, ma presto sarà disponibile anche per altre attrezzature;
- Il codice per il capture del traffico è stato riscritto utilizzando il framework Netmap. È stata aggiunta la possibilità di utilizzare funzionalità avanzate di Netmap, come lo switch virtuale. ;
- supporto per un nuovo schema di definizione delle parole chiave per i «Sticky Buffers». Il nuovo schema è definito nel formato «protocol.buffer», ad esempio, per l'ispezione dell'URI la parola chiave assumerà la forma «http.uri» invece di «http_uri»;
- Tutto il codice Python utilizzato è stato verificato per la compatibilità con
Python 3; - È stata interrotta la supporto per l'architettura Tilera, il log testuale dns.log e il vecchio log files-json.log.
Caratteristiche di Suricata:
- Uso di un formato unificato per l'output dei risultati della verifica , anche utilizzato dal progetto Snort, che consente di utilizzare strumenti standard per l'analisi, come . Possibilità di integrazione con prodotti come BASE, Snorby, Sguil e SQueRT. Supporto per l'output in formato PCAP;
- Supporto per il riconoscimento automatico dei protocolli (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB, ecc.) che consente di operare nelle regole solo in base al tipo di protocollo, senza legarlo al numero di porta (ad esempio, bloccare il traffico HTTP su una porta non standard). Presenza di decoder per i protocolli HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP e SSH;
- Un potente sistema di analisi del traffico HTTP che utilizza una libreria speciale HTP, creata dall'autore del progetto Mod_Security, per l'interpretazione e la normalizzazione del traffico HTTP. È disponibile un modulo per la registrazione dettagliata delle trasmissioni HTTP transitore, con log salvati nel formato standard;
Apache. Supporta l'estrazione e la verifica dei file trasmessi tramite il protocollo HTTP. Supporta l'interpretazione del contenuto compresso. Possibilità di identificazione tramite URI, cookie, intestazioni, user-agent, corpo della richiesta/risposta; - Supporto per diverse interfacce per l'acquisizione del traffico, inclusi NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. È possibile analizzare file già salvati in formato PCAP;
- Elevata prestazione, capacità di elaborare flussi fino a 10 gigabit/sec su hardware standard.
- Meccanismo di corrispondenza ad alte prestazioni con grandi insiemi di indirizzi IP. Supporto per l'estrazione di contenuti tramite maschere e espressioni regolari. Estrazione di file dal traffico, inclusa l'identificazione per nome, tipo o checksum MD5.
- Possibilità di utilizzare variabili nelle regole: è possibile salvare informazioni dal flusso e utilizzarle successivamente in altre regole;
- Utilizzo del formato YAML nei file di configurazione, che consente di mantenere la chiarezza insieme alla facilità di elaborazione automatica;
- Supporto completo per IPv6;
- Motore incorporato per la deframmentazione automatica e la ricostruzione dei pacchetti, che garantisce un'elaborazione corretta dei flussi, indipendentemente dall'ordine di ricezione dei pacchetti;
- Supporto per protocolli di tunneling: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
- Supporto per la decodifica dei pacchetti: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
- Modalità di registrazione delle chiavi e dei certificati coinvolti nelle connessioni TLS/SSL;
- La possibilità di scrivere script in linguaggio Lua per garantire un'analisi avanzata e implementare ulteriori funzionalità necessarie per identificare i tipi di traffico per cui le regole standard non sono sufficienti.
Fonte: opennet.ru
