Suricata 8.0 ದಾಳಿ ಪತ್ತೆ ವ್ಯವಸ್ಥೆ ಲಭ್ಯವಿದೆ

ಎರಡು ವರ್ಷಗಳ ಅಭಿವೃದ್ಧಿಯ ನಂತರ, ಓಪನ್ ಇನ್ಫರ್ಮೇಷನ್ ಸೆಕ್ಯುರಿಟಿ ಫೌಂಡೇಶನ್ (OISF) ಸುರಿಕಾಟಾ ನೆಟ್‌ವರ್ಕ್ ಒಳನುಗ್ಗುವಿಕೆ ಪತ್ತೆ ಮತ್ತು ತಡೆಗಟ್ಟುವಿಕೆ ವ್ಯವಸ್ಥೆಯ ಆವೃತ್ತಿ 8.0 ಅನ್ನು ಬಿಡುಗಡೆ ಮಾಡಿದೆ, ಇದು ವಿವಿಧ ರೀತಿಯ ಸಂಚಾರವನ್ನು ಪರಿಶೀಲಿಸಲು ಪರಿಕರಗಳನ್ನು ಒದಗಿಸುತ್ತದೆ. ಸುರಿಕಾಟಾ ಸಂರಚನೆಗಳು ಸ್ನೋರ್ಟ್ ಯೋಜನೆಯಿಂದ ಅಭಿವೃದ್ಧಿಪಡಿಸಲಾದ ಸಿಗ್ನೇಚರ್ ಡೇಟಾಬೇಸ್‌ನ ಬಳಕೆಯನ್ನು ಬೆಂಬಲಿಸುತ್ತವೆ, ಜೊತೆಗೆ ಉದಯೋನ್ಮುಖ ಬೆದರಿಕೆಗಳು ಮತ್ತು ಉದಯೋನ್ಮುಖ ಬೆದರಿಕೆಗಳ ಪ್ರೊ ನಿಯಮಗಳ ಸೆಟ್‌ಗಳನ್ನು ಬೆಂಬಲಿಸುತ್ತವೆ. ಯೋಜನೆಯ ಮೂಲ ಕೋಡ್ ಅನ್ನು GPLv2 ಪರವಾನಗಿ ಅಡಿಯಲ್ಲಿ ವಿತರಿಸಲಾಗಿದೆ.

ಪ್ರಮುಖ ಬದಲಾವಣೆಗಳು:

• ಸುರಿಕಾಟಾವನ್ನು ಫೈರ್‌ವಾಲ್ ಆಗಿ ಬಳಸುವ ಪ್ರಾಯೋಗಿಕ ಸಾಮರ್ಥ್ಯವನ್ನು ಸೇರಿಸಲಾಗಿದೆ. ಫೈರ್‌ವಾಲ್ ಮೋಡ್ ನೆಟ್‌ವರ್ಕ್ ಪ್ಯಾಕೆಟ್‌ಗಳನ್ನು ಫಿಲ್ಟರ್ ಮಾಡಲು ಸಂಚಾರ ತಪಾಸಣೆ ನಿಯಮಗಳ ಭಾಷೆಯ ಉಪಭಾಷೆಯನ್ನು ಬಳಸಲು ಅನುಮತಿಸುತ್ತದೆ.
• ಲುವಾದಲ್ಲಿ ಸ್ಕ್ರಿಪ್ಟ್‌ಗಳನ್ನು ಬರೆಯುವ ಸಾಮರ್ಥ್ಯವನ್ನು ಪುನಃ ರಚಿಸಲಾಗಿದೆ. ಲುವಾ 5.4 ಇಂಟರ್ಪ್ರಿಟರ್ ಅನ್ನು ಕೋಡ್ ಬೇಸ್‌ಗೆ ಸಂಯೋಜಿಸಲಾಗಿದೆ, ಲುವಾ ನಿಯಮಗಳನ್ನು ನಿರ್ಬಂಧಿಸುವ ಸ್ಯಾಂಡ್‌ಬಾಕ್ಸ್ ಪರಿಸರದಲ್ಲಿ ಕಾರ್ಯನಿರ್ವಹಿಸುತ್ತದೆ (ಉದಾಹರಣೆಗೆ, ನಿಯಮಗಳು ಫೈಲ್‌ಗಳಿಗೆ ಬರೆಯಲು ಅಥವಾ ನೆಟ್‌ವರ್ಕ್ ಸಾಕೆಟ್‌ಗಳನ್ನು ರಚಿಸಲು ಸಾಧ್ಯವಿಲ್ಲ).
• ಪ್ರೋಟೋಕಾಲ್ ಪಾರ್ಸರ್‌ಗಳು, ಡಿಟೆಕ್ಟರ್‌ಗಳು ಮತ್ತು ಲಾಗಿಂಗ್ ಘಟಕಗಳೊಂದಿಗೆ ಪ್ಲಗಿನ್‌ಗಳನ್ನು ಕ್ರಿಯಾತ್ಮಕವಾಗಿ (ರನ್‌ಟೈಮ್‌ನಲ್ಲಿ) ನೋಂದಾಯಿಸುವ ಸಾಮರ್ಥ್ಯವನ್ನು ಒದಗಿಸಲಾಗಿದೆ.
• ಪ್ರೋಟೋಕಾಲ್ ಪತ್ತೆ, ನಿಯಮ ಲೋಡಿಂಗ್ ಮತ್ತು ಇನಿಶಿಯಲೈಸೇಶನ್ ಸೇರಿದಂತೆ ಎಂಜಿನ್‌ನ ವಿವಿಧ ಅಂಶಗಳನ್ನು ವೇಗಗೊಳಿಸಲು ಗಮನಾರ್ಹ ಕಾರ್ಯಕ್ಷಮತೆ ಆಪ್ಟಿಮೈಸೇಶನ್‌ಗಳನ್ನು ಅಳವಡಿಸಲಾಯಿತು. ಶಾಖೆಯ ಮುನ್ಸೂಚನೆ, ಹ್ಯಾಶ್ ಕಾರ್ಯ ಆಪ್ಟಿಮೈಸೇಶನ್, ಹೆಚ್ಚಿದ PCAP ಡೇಟಾ ಲೋಡಿಂಗ್ ಬಫರ್ ಗಾತ್ರಗಳು ಮತ್ತು ಸ್ಟ್ರೀಮ್ ಸಿಂಕ್ರೊನೈಸೇಶನ್ ಪುನರ್ನಿರ್ಮಾಣದ ಮೂಲಕ ಈ ಸುಧಾರಣೆಗಳನ್ನು ಸಾಧಿಸಲಾಯಿತು. ಕ್ಯಾಶಿಂಗ್, ವಿಸ್ತರಿತ ಪೋರ್ಟ್ ಗ್ರೂಪಿಂಗ್ ಮತ್ತು ಸುಧಾರಿತ IP ವಿಳಾಸ ಬದಲಿ ಅಲ್ಗಾರಿದಮ್ ಮೂಲಕ ಸುರಿಕಾಟಾ ಆರಂಭಿಕ ಸಮಯವನ್ನು ಸಹ ಕಡಿಮೆ ಮಾಡಲಾಯಿತು.
• LibHTP, FTP, ಮತ್ತು ENIP ಹ್ಯಾಂಡ್ಲರ್‌ಗಳು, ಹಾಗೆಯೇ MIME ಪ್ರಕಾರಗಳನ್ನು ಪಾರ್ಸಿಂಗ್ ಮಾಡುವ ಕೋಡ್, ಬೈಟ್_ಎಕ್ಸ್ಟ್ರಾಕ್ಟ್ ಕಾರ್ಯಾಚರಣೆಗಳು ಮತ್ತು base64 ಡಿಕೋಡಿಂಗ್ ಅನ್ನು ರಸ್ಟ್‌ನಲ್ಲಿ ಪುನಃ ಬರೆಯಲಾಗಿದೆ.
• DoH (HTTPS ಮೂಲಕ DNS), LDAP, mDNS (ಮಲ್ಟಿಕಾಸ್ಟ್ DNS) ಮತ್ತು ವೆಬ್‌ಸಾಕೆಟ್ ಪ್ರೋಟೋಕಾಲ್‌ಗಳಿಗೆ ಬೆಂಬಲವನ್ನು ಸೇರಿಸಲಾಗಿದೆ.
• ARP ಮತ್ತು POP3 ಪ್ರೋಟೋಕಾಲ್‌ಗಳಿಗಾಗಿ ಹೊಸ ಡಿಕೋಡಿಂಗ್ ಮತ್ತು ಲಾಗಿಂಗ್ ಮಾಡ್ಯೂಲ್‌ಗಳನ್ನು ಸೇರಿಸಲಾಗಿದೆ.
• SIP ಮೂಲಕ SDP ಮತ್ತು TCP ಮೂಲಕ SIP ಯ ಪಾರ್ಸಿಂಗ್ ಅನ್ನು ಒದಗಿಸಲಾಗಿದೆ.
• ಪ್ರೋಟೋಕಾಲ್ ಪತ್ತೆ ಮತ್ತು ನಿಯಮ-ನಿರ್ಮಾಣ ಎಂಜಿನ್ ಅನ್ನು ವಿಸ್ತರಿಸಲಾಗಿದೆ. ಈ ಕೆಳಗಿನ ಕೀವರ್ಡ್‌ಗಳು ಈಗ ಬೆಂಬಲಿತವಾಗಿವೆ: LDAP, MIME/EMAIL, vlan.id, DNS, SMTP, FTP, TLS, tcp.wscale, pgsql.query, from_base64, ಎಂಟ್ರೊಪಿ, luaxform, ಮತ್ತು mDNS. ವಹಿವಾಟು ನಿಯಮಗಳನ್ನು ಸೇರಿಸಲಾಗಿದೆ, ಇದು ಎರಡೂ ವಹಿವಾಟು ನಿರ್ದೇಶನಗಳನ್ನು ಒಂದೇ ನಿಯಮದಲ್ಲಿ ವಿವರಿಸಲು ಅನುವು ಮಾಡಿಕೊಡುತ್ತದೆ.

ಸುರಿಕಾಟಾದ ವೈಶಿಷ್ಟ್ಯಗಳು:

• • ಸ್ನೋರ್ಟ್ ಯೋಜನೆಯಲ್ಲಿಯೂ ಬಳಸಲಾಗುವ ಯೂನಿಫೈಡ್2 ಸ್ವರೂಪವನ್ನು ಸ್ಕ್ಯಾನ್ ಫಲಿತಾಂಶಗಳನ್ನು ಔಟ್‌ಪುಟ್ ಮಾಡಲು ಬಳಸಲಾಗುತ್ತದೆ, ಇದು barnyard2 ನಂತಹ ಪ್ರಮಾಣಿತ ವಿಶ್ಲೇಷಣಾ ಪರಿಕರಗಳ ಬಳಕೆಯನ್ನು ಅನುಮತಿಸುತ್ತದೆ. BASE, Snorby, Sguil, ಮತ್ತು SQueRT ಉತ್ಪನ್ನಗಳೊಂದಿಗೆ ಏಕೀಕರಣವನ್ನು ಬೆಂಬಲಿಸಲಾಗುತ್ತದೆ. PCAP ಸ್ವರೂಪದ ಔಟ್‌ಪುಟ್ ಬೆಂಬಲಿತವಾಗಿದೆ;
  • ಸ್ವಯಂಚಾಲಿತ ಪ್ರೋಟೋಕಾಲ್ ಪತ್ತೆಗೆ ಬೆಂಬಲ (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB, ಇತ್ಯಾದಿ), ನಿಯಮಗಳು ಪೋರ್ಟ್ ಸಂಖ್ಯೆಯನ್ನು ಉಲ್ಲೇಖಿಸದೆ ಪ್ರೋಟೋಕಾಲ್ ಪ್ರಕಾರದಲ್ಲಿ ಮಾತ್ರ ಕಾರ್ಯನಿರ್ವಹಿಸಲು ಅನುವು ಮಾಡಿಕೊಡುತ್ತದೆ (ಉದಾಹರಣೆಗೆ, ಪ್ರಮಾಣಿತವಲ್ಲದ ಪೋರ್ಟ್‌ನಲ್ಲಿ HTTP ದಟ್ಟಣೆಯನ್ನು ನಿರ್ಬಂಧಿಸುವುದು). HTTP ಪ್ರೋಟೋಕಾಲ್‌ಗಳಿಗಾಗಿ ಡಿಕೋಡರ್‌ಗಳ ಲಭ್ಯತೆ, ಎಸ್ಎಸ್ಎಲ್, TLS, SMB, SMB2, DCERPC, SMTP, FTP, LDAP ಮತ್ತು SSH;
  • HTTP ಟ್ರಾಫಿಕ್ ಅನ್ನು ಪಾರ್ಸ್ ಮಾಡಲು ಮತ್ತು ಸಾಮಾನ್ಯಗೊಳಿಸಲು Mod_Security ಯೋಜನೆಯ ಲೇಖಕರು ರಚಿಸಿದ HTP ಲೈಬ್ರರಿಯನ್ನು ಬಳಸುವ HTTP ಟ್ರಾಫಿಕ್ ವಿಶ್ಲೇಷಣಾ ವ್ಯವಸ್ಥೆ. HTTP ಟ್ರಾನ್ಸಿಟ್ ವರ್ಗಾವಣೆಗಳ ವಿವರವಾದ ಲಾಗಿಂಗ್ ಅನ್ನು ನಿರ್ವಹಿಸಲು ಒಂದು ಮಾಡ್ಯೂಲ್ ಲಭ್ಯವಿದೆ (ಲಾಗ್ ಅನ್ನು ಪ್ರಮಾಣಿತ ಅಪಾಚೆ ಸ್ವರೂಪದಲ್ಲಿ ಉಳಿಸಲಾಗಿದೆ). HTTP ಮೂಲಕ ವರ್ಗಾಯಿಸಲಾದ ಫೈಲ್‌ಗಳ ಹೊರತೆಗೆಯುವಿಕೆ ಮತ್ತು ಪರಿಶೀಲನೆಯನ್ನು ಬೆಂಬಲಿಸಲಾಗುತ್ತದೆ, ಜೊತೆಗೆ ಸಂಕುಚಿತ ವಿಷಯದ ಪಾರ್ಸಿಂಗ್ ಅನ್ನು ಬೆಂಬಲಿಸಲಾಗುತ್ತದೆ. URI, ಕುಕೀ, ಹೆಡರ್‌ಗಳು, ಬಳಕೆದಾರ-ಏಜೆಂಟ್ ಮತ್ತು ವಿನಂತಿ/ಪ್ರತಿಕ್ರಿಯೆ ದೇಹದ ಮೂಲಕ ಗುರುತಿಸುವಿಕೆ ಸಾಧ್ಯ.
  • NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING ಸೇರಿದಂತೆ ಟ್ರಾಫಿಕ್ ಅನ್ನು ಪ್ರತಿಬಂಧಿಸಲು ವಿವಿಧ ಇಂಟರ್ಫೇಸ್‌ಗಳಿಗೆ ಬೆಂಬಲ. PCAP ಸ್ವರೂಪದಲ್ಲಿ ಈಗಾಗಲೇ ಉಳಿಸಿದ ಫೈಲ್‌ಗಳನ್ನು ವಿಶ್ಲೇಷಿಸಲು ಸಾಧ್ಯವಿದೆ;
  • ಹೆಚ್ಚಿನ ಕಾರ್ಯಕ್ಷಮತೆ, ಸಾಂಪ್ರದಾಯಿಕ ಉಪಕರಣಗಳಲ್ಲಿ ಸೆಕೆಂಡಿಗೆ ಹತ್ತಾರು ಗಿಗಾಬಿಟ್‌ಗಳ ಹರಿವನ್ನು ಪ್ರಕ್ರಿಯೆಗೊಳಿಸುವ ಸಾಮರ್ಥ್ಯ.
  • ದೊಡ್ಡ ಐಪಿ ವಿಳಾಸಗಳ ಸೆಟ್‌ಗಳಿಗೆ ಹೆಚ್ಚಿನ ಕಾರ್ಯಕ್ಷಮತೆಯ ಮಾಸ್ಕ್ ಹೊಂದಾಣಿಕೆಯ ಎಂಜಿನ್. ಮಾಸ್ಕ್ ಮತ್ತು ನಿಯಮಿತ ಅಭಿವ್ಯಕ್ತಿಗಳ ಮೂಲಕ ವಿಷಯ ಹೊರತೆಗೆಯುವಿಕೆಗೆ ಬೆಂಬಲ. ಹೆಸರು, ಪ್ರಕಾರ ಅಥವಾ ಹ್ಯಾಶ್ ಮೂಲಕ ಅವುಗಳ ಗುರುತಿಸುವಿಕೆ ಸೇರಿದಂತೆ ಟ್ರಾಫಿಕ್‌ನಿಂದ ಫೈಲ್‌ಗಳ ಹೊರತೆಗೆಯುವಿಕೆ.
  • ನಿಯಮಗಳಲ್ಲಿ ಅಸ್ಥಿರಗಳನ್ನು ಬಳಸುವ ಸಾಧ್ಯತೆ: ನೀವು ಸ್ಟ್ರೀಮ್‌ನಿಂದ ಮಾಹಿತಿಯನ್ನು ಉಳಿಸಬಹುದು ಮತ್ತು ನಂತರ ಅದನ್ನು ಇತರ ನಿಯಮಗಳಲ್ಲಿ ಬಳಸಬಹುದು;
  • ಸಂರಚನಾ ಫೈಲ್‌ಗಳಲ್ಲಿ YAML ಸ್ವರೂಪದ ಬಳಕೆ, ಇದು ಸ್ಪಷ್ಟತೆ ಮತ್ತು ಯಂತ್ರ ಸಂಸ್ಕರಣೆಯ ಸುಲಭತೆಯನ್ನು ಸಂಯೋಜಿಸುತ್ತದೆ;
  • ಪೂರ್ಣ ಬೆಂಬಲ IPv6;
  • ಪ್ಯಾಕೆಟ್‌ಗಳ ಸ್ವಯಂಚಾಲಿತ ಡಿಫ್ರಾಗ್ಮೆಂಟೇಶನ್ ಮತ್ತು ಮರುಜೋಡಣೆಗಾಗಿ ಅಂತರ್ನಿರ್ಮಿತ ಎಂಜಿನ್, ಇದು ಪ್ಯಾಕೆಟ್‌ಗಳು ಬರುವ ಕ್ರಮವನ್ನು ಲೆಕ್ಕಿಸದೆ ಸ್ಟ್ರೀಮ್‌ಗಳ ಸರಿಯಾದ ಸಂಸ್ಕರಣೆಯನ್ನು ಖಚಿತಪಡಿಸಿಕೊಳ್ಳಲು ಅನುವು ಮಾಡಿಕೊಡುತ್ತದೆ;
  • ಸುರಂಗ ಮಾರ್ಗ ಪ್ರೋಟೋಕಾಲ್‌ಗಳಿಗೆ ಬೆಂಬಲ: ಟೆರೆಡೊ, ಐಪಿ-ಐಪಿ, ಐಪಿ6-ಐಪಿ4, ಐಪಿ4-ಐಪಿ6, ಜಿಆರ್‌ಇ;
  • ಪ್ಯಾಕೆಟ್ ಡಿಕೋಡಿಂಗ್ ಬೆಂಬಲ: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, ಈಥರ್ನೆಟ್, PPP, ARP, PPPoE, Raw, SLL, VLAN;
  • TLS-ಆಧಾರಿತ ಸಂಪರ್ಕಗಳಲ್ಲಿ ಬಳಸುವ ಕೀಲಿಗಳು ಮತ್ತು ಪ್ರಮಾಣಪತ್ರಗಳಿಗಾಗಿ ಲಾಗಿಂಗ್ ಮೋಡ್;
  • ಸುಧಾರಿತ ಸಂಚಾರ ವಿಶ್ಲೇಷಣೆಗಾಗಿ ಲುವಾದಲ್ಲಿ ಸ್ಕ್ರಿಪ್ಟ್‌ಗಳನ್ನು ಬರೆಯುವ ಸಾಮರ್ಥ್ಯ ಮತ್ತು ಪ್ರಮಾಣಿತ ನಿಯಮಗಳು ಸಾಕಷ್ಟಿಲ್ಲದ ಹೆಚ್ಚುವರಿ ವೈಶಿಷ್ಟ್ಯಗಳ ಅನುಷ್ಠಾನ.

ಮೂಲ: opennet.ru