មានប្រព័ន្ធរកឃើញការវាយប្រហារ Suricata 5.0

អង្គការ OISF (មូលនិធិសន្តិសុខព័ត៌មានបើកចំហ) បានផ្សព្វផ្សាយ ការចេញផ្សាយប្រព័ន្ធការពារ និងទប់ស្កាត់ការឈ្លានពានបណ្តាញ Meerkat ៤.០ដែលផ្តល់ឧបករណ៍សម្រាប់ត្រួតពិនិត្យប្រភេទផ្សេងៗនៃចរាចរណ៍។ នៅក្នុងការកំណត់រចនាសម្ព័ន្ធ Suricata វាគឺអាចធ្វើទៅបានដើម្បីប្រើ មូលដ្ឋានទិន្នន័យហត្ថលេខាដែលត្រូវបានបង្កើតឡើងដោយគម្រោង Snort ក៏ដូចជាសំណុំនៃច្បាប់ ការគំរាមកំហែងដែលកំពុងកើតមាន и Emerging Threats Pro. ប្រភពគម្រោង ការ​ឆ្លង​រាលដាល មានអាជ្ញាប័ណ្ណក្រោម GPLv2.

ការផ្លាស់ប្តូរសំខាន់ៗ៖

• ម៉ូឌុលថ្មីសម្រាប់ពិធីការញែក និងកំណត់ហេតុត្រូវបានណែនាំ
  RDP, SNMP និង SIP សរសេរជា Rust ។ ម៉ូឌុលញែក FTP ឥឡូវនេះមានលទ្ធភាពចូលតាមរយៈប្រព័ន្ធរង EVE ដែលផ្តល់លទ្ធផលព្រឹត្តិការណ៍ក្នុងទម្រង់ JSON ។

• បន្ថែមពីលើការគាំទ្រសម្រាប់វិធីសាស្ត្រកំណត់អត្តសញ្ញាណអតិថិជន JA3 TLS ដែលបានបង្ហាញខ្លួននៅក្នុងការចេញផ្សាយចុងក្រោយ ការគាំទ្រសម្រាប់វិធីសាស្ត្រ JA3S, អនុញ្ញាត ដោយផ្អែកលើលក្ខណៈនៃការចរចាការតភ្ជាប់ និងប៉ារ៉ាម៉ែត្រដែលបានបញ្ជាក់ កំណត់ថាតើកម្មវិធីណាមួយត្រូវបានប្រើដើម្បីបង្កើតការតភ្ជាប់ (ឧទាហរណ៍ វាអនុញ្ញាតឱ្យអ្នកកំណត់ការប្រើប្រាស់ Tor និងកម្មវិធីស្តង់ដារផ្សេងទៀត)។ JA3 អនុញ្ញាតឱ្យអ្នកកំណត់អតិថិជន ហើយ JA3S អនុញ្ញាតឱ្យអ្នកកំណត់ម៉ាស៊ីនមេ។ លទ្ធផលនៃការកំណត់អាចប្រើក្នុងការកំណត់ភាសា និងក្នុងកំណត់ហេតុ។
• បានបន្ថែមសមត្ថភាពពិសោធន៍ដើម្បីផ្គូផ្គងគំរូពីសំណុំទិន្នន័យធំ ដែលត្រូវបានអនុវត្តដោយប្រើប្រតិបត្តិការថ្មី។ dataset និង datarep. ឧទាហរណ៍ មុខងារអាចអនុវត្តបានចំពោះការស្វែងរករបាំងមុខនៅក្នុងបញ្ជីខ្មៅធំៗដែលមានធាតុរាប់លាន។
• របៀបត្រួតពិនិត្យ HTTP ផ្តល់នូវការគ្របដណ្តប់ពេញលេញនៃស្ថានភាពទាំងអស់ដែលបានពិពណ៌នានៅក្នុងឈុតសាកល្បង HTTP Evader (ឧ. គ្របដណ្តប់បច្ចេកទេសដែលប្រើដើម្បីលាក់សកម្មភាពព្យាបាទក្នុងចរាចរណ៍);
• ឧបករណ៍សម្រាប់បង្កើតម៉ូឌុលនៅក្នុងភាសា Rust ត្រូវបានផ្ទេរពីជម្រើសទៅសមត្ថភាពស្តង់ដារចាំបាច់។ នៅពេលអនាគត វាត្រូវបានគ្រោងនឹងពង្រីកការប្រើប្រាស់ Rust នៅក្នុងមូលដ្ឋានកូដគម្រោង និងជំនួសម៉ូឌុលបន្តិចម្តងៗជាមួយនឹង analogues ដែលត្រូវបានបង្កើតឡើងនៅក្នុង Rust ។
• ម៉ាស៊ីនកំណត់ពិធីការត្រូវបានកែលម្អ ដើម្បីកែលម្អភាពត្រឹមត្រូវ និងដោះស្រាយលំហូរចរាចរណ៍អសមកាល។
• ការគាំទ្រសម្រាប់ប្រភេទធាតុ "ភាពមិនប្រក្រតី" ថ្មីត្រូវបានបន្ថែមទៅកំណត់ហេតុ EVE ដែលរក្សាទុកព្រឹត្តិការណ៍ atypical ដែលបានរកឃើញនៅពេលឌិកូដកញ្ចប់ព័ត៌មាន។ EVE ក៏បានពង្រីកការបង្ហាញព័ត៌មានអំពី VLANs និងចំណុចប្រទាក់ចាប់យកចរាចរណ៍ផងដែរ។ បានបន្ថែមជម្រើសដើម្បីរក្សាទុកបឋមកថា HTTP ទាំងអស់នៅក្នុងធាតុកំណត់ហេតុ EVE http;
• ឧបករណ៍ដោះស្រាយដែលមានមូលដ្ឋានលើ eBPF ផ្តល់ការគាំទ្រសម្រាប់យន្តការផ្នែករឹងសម្រាប់ការបង្កើនល្បឿនចាប់យកកញ្ចប់ព័ត៌មាន។ ការបង្កើនល្បឿនផ្នែករឹងបច្ចុប្បន្នត្រូវបានកំណត់ចំពោះអាដាប់ទ័របណ្តាញ Netronome ប៉ុន្តែឆាប់ៗនេះនឹងមានសម្រាប់ឧបករណ៍ផ្សេងទៀត
• កូដសម្រាប់ចាប់យកចរាចរណ៍ដោយប្រើក្របខ័ណ្ឌ Netmap ត្រូវបានសរសេរឡើងវិញ។ បានបន្ថែមសមត្ថភាពប្រើប្រាស់មុខងារ Netmap កម្រិតខ្ពស់ ដូចជាកុងតាក់និម្មិត Vale;
• បន្ថែម ការគាំទ្រសម្រាប់គ្រោងការណ៍និយមន័យពាក្យគន្លឹះថ្មីសម្រាប់ Sticky Buffers ។ គ្រោងការណ៍ថ្មីត្រូវបានកំណត់ក្នុងទម្រង់ "protocol.buffer" ឧទាហរណ៍សម្រាប់ការត្រួតពិនិត្យ URI ពាក្យគន្លឹះនឹងយកទម្រង់ "http.uri" ជំនួសឱ្យ "http_uri";
• កូដ Python ទាំងអស់ដែលបានប្រើត្រូវបានសាកល្បងសម្រាប់ភាពឆបគ្នាជាមួយ
  Python3;

• ការគាំទ្រសម្រាប់ស្ថាបត្យកម្ម Tilera កំណត់ហេតុអត្ថបទ dns.log និងឯកសារកំណត់ហេតុចាស់-json.log ត្រូវបានបញ្ឈប់។

លក្ខណៈពិសេសរបស់ Suricata:

• ការប្រើទម្រង់បង្រួបបង្រួមដើម្បីបង្ហាញលទ្ធផលស្កេន បង្រួបបង្រួម ២ត្រូវបានប្រើដោយគម្រោង Snort ដែលអនុញ្ញាតឱ្យប្រើឧបករណ៍វិភាគស្តង់ដារដូចជា ជង្រុក ២. លទ្ធភាពនៃការរួមបញ្ចូលជាមួយផលិតផល BASE, Snorby, Sguil និង SQueRT ។ ការគាំទ្រលទ្ធផល PCAP;
• ការគាំទ្រសម្រាប់ការរកឃើញដោយស្វ័យប្រវត្តិនៃពិធីការ (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB ។ ចរាចរណ៍នៅលើច្រកមិនស្តង់ដារ) ។ ភាពអាចរកបាននៃឧបករណ៍ឌិកូដសម្រាប់ HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP និងពិធីការ SSH;
• ប្រព័ន្ធវិភាគចរាចរណ៍ HTTP ដ៏មានអានុភាពដែលប្រើបណ្ណាល័យ HTP ពិសេសដែលបង្កើតឡើងដោយអ្នកនិពន្ធនៃគម្រោង Mod_Security ដើម្បីញែក និងធ្វើឱ្យចរាចរ HTTP មានលក្ខណៈធម្មតា។ ម៉ូឌុលមានសម្រាប់រក្សាកំណត់ហេតុលម្អិតនៃការផ្ទេរ HTTP ឆ្លងកាត់ កំណត់ហេតុត្រូវបានរក្សាទុកក្នុងទម្រង់ស្តង់ដារ
  Apache ។ ការទាញយក និងពិនិត្យមើលឯកសារដែលបានបញ្ជូនតាមរយៈ HTTP ត្រូវបានគាំទ្រ។ ការគាំទ្រសម្រាប់ការវិភាគមាតិកាដែលបានបង្ហាប់។ សមត្ថភាពក្នុងការកំណត់អត្តសញ្ញាណដោយ URI, Cookie, បឋមកថា, ភ្នាក់ងារអ្នកប្រើប្រាស់, រាងកាយសំណើ / ការឆ្លើយតប;

• ការគាំទ្រសម្រាប់ចំណុចប្រទាក់ផ្សេងៗសម្រាប់ការស្ទាក់ចាប់ចរាចរណ៍ រួមទាំង NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING ។ វាអាចធ្វើទៅបានដើម្បីវិភាគឯកសារដែលបានរក្សាទុករួចហើយជាទម្រង់ PCAP ។
• ដំណើរការខ្ពស់ សមត្ថភាពក្នុងការដំណើរការលំហូររហូតដល់ 10 ជីហ្គាបៃក្នុងមួយវិនាទីលើឧបករណ៍ធម្មតា។
• យន្តការផ្គូផ្គងរបាំងដែលមានប្រសិទ្ធភាពខ្ពស់សម្រាប់សំណុំធំនៃអាសយដ្ឋាន IP ។ ការគាំទ្រសម្រាប់ការជ្រើសរើសមាតិកាដោយរបាំងនិងកន្សោមធម្មតា។ ការញែកឯកសារចេញពីចរាចរណ៍ រួមទាំងការកំណត់អត្តសញ្ញាណរបស់ពួកគេតាមឈ្មោះ ប្រភេទ ឬ MD5 checksum ។
• សមត្ថភាពក្នុងការប្រើអថេរនៅក្នុងច្បាប់៖ អ្នកអាចរក្សាទុកព័ត៌មានពីស្ទ្រីម ហើយក្រោយមកប្រើវានៅក្នុងច្បាប់ផ្សេងទៀត;
• ការប្រើប្រាស់ទម្រង់ YAML នៅក្នុងឯកសារកំណត់រចនាសម្ព័ន្ធ ដែលអនុញ្ញាតឱ្យអ្នករក្សាភាពច្បាស់លាស់ខណៈពេលដែលមានភាពងាយស្រួលក្នុងដំណើរការម៉ាស៊ីន។
• ការគាំទ្រ IPv6 ពេញលេញ;
• ម៉ាស៊ីនដែលភ្ជាប់មកជាមួយសម្រាប់ការ defragmentation ដោយស្វ័យប្រវត្តិ និងការប្រមូលផ្តុំកញ្ចប់ព័ត៌មានឡើងវិញ ដែលអនុញ្ញាតឱ្យដំណើរការត្រឹមត្រូវនៃចរន្ត ដោយមិនគិតពីលំដាប់ដែលកញ្ចប់ព័ត៌មានមកដល់។
• ការគាំទ្រសម្រាប់ពិធីការផ្លូវរូងក្រោមដី៖ Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
• ការគាំទ្រការឌិកូដកញ្ចប់៖ IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, អ៊ីសឺរណិត, PPP, PPPoE, Raw, SLL, VLAN;
• របៀបសម្រាប់សោចូល និងវិញ្ញាបនបត្រដែលលេចឡើងក្នុងការតភ្ជាប់ TLS/SSL;
• សមត្ថភាពក្នុងការសរសេរស្គ្រីបនៅក្នុង Lua ដើម្បីផ្តល់នូវការវិភាគកម្រិតខ្ពស់ និងអនុវត្តសមត្ថភាពបន្ថែមដែលត្រូវការដើម្បីកំណត់ប្រភេទនៃចរាចរណ៍ដែលច្បាប់ស្តង់ដារមិនគ្រប់គ្រាន់។

ប្រភព: opennet.ru