שחרור של Zeek traffic Analyser 3.0.0

שבע שנים לאחר הקמת הסניף המשמעותי האחרון הציג שחרור מערכת ניתוח תנועה וזיהוי חדירת רשת Zeek 3.0.0 , שהופץ בעבר תחת השם אחי. זהו המהדורה המשמעותית הראשונה מאז שינוי שם הפרויקט, מחויב משום שהשם Bro נקשר לתת-התרבות השולית באותו שם, ולא כרמז מכוון ל"האח הגדול" מהרומן של ג'ורג' אורוול "1984" שנועד על ידי המחברים. קוד המערכת כתוב ב-C++ ו מופץ על ידי תחת רישיון BSD.

Zeek היא פלטפורמת ניתוח תעבורה המתמקדת בעיקר, אך לא רק, בניטור אירועי אבטחה. מודולים מסופקים לניתוח וניתוח של פרוטוקולי רשת שונים ברמת היישום, תוך התחשבות במצב החיבורים ומאפשרים יצירת יומן (ארכיון) מפורט של פעילות הרשת. מוצעת שפה ספציפית לתחום לכתיבת תסריטי ניטור וזיהוי חריגות, תוך התחשבות בפרט של תשתיות ספציפיות. המערכת מותאמת לשימוש ברשתות ברוחב פס גבוה. API מסופק לשילוב עם מערכות מידע של צד שלישי ולהחלפת נתונים בזמן אמת.

В נושא חדש:

• הנתח לפרוטוקול NTP נכתב מחדש לחלוטין ונוסף מנתח חדש עבור MQTT. היכולות של מנתחים עבור DNS, RDP, SMB ו-TLS הורחבו. עבור DNS מסופק ניתוח של רשומות SPF, ועבור DNSSEC - RRSIG, DNSKEY, DS, NSEC ו-NSEC3 ומבחר האירועים הקשורים אליהם. נוספה תמיכה בפרוטוקול SMB 3.x לנתח SMB, ותמיכה ב-TLS 1.3 עבור TLS;
• יושמה תמיכה ב-deencapsulation של זרמים המשודרים בתוך מנהרות VXLAN;
• נוספה תמיכה בקישורים מסוג NFLOG;
• נוספה היכולת לשמור נתונים שחולצו ביומן בקידוד UTF8;
• נוספה תמיכה בסגירות עבור פונקציות אנונימיות לשפת הסקריפט, נוספה אופרטור לספירת טבלאות בפורמט מפתח-ערך ("for ( key, value in t)"), הוטמעו פעולות הפרדה וקטוריות בסגנון Python ("v[2:4]"), מבנה חדש, paraglob, מוצע להתאמה מהירה של מסכות מחרוזות בקבוצות נתונים בינאריים גדולים;
• כל ההפניות לשם "אחי" בנתיבי קבצים, הגדרות, חבילות, סקריפטים, מרחבי שמות ופונקציות הוחלפו ב-"zeek" (תמיכה בשמות ישנים נשמרה לצורך תאימות לאחור). שם מנהל החבילות bro-pkg שונה ל-zkg.

מקור: OpenNet.ru