ມີລະບົບກວດຈັບການໂຈມຕີ Suricata 5.0

ອົງການ OISF (Open Information Security Foundation) ຈັດພີມມາ ປ່ອຍ​ລະ​ບົບ​ການ​ກວດ​ສອບ​ແລະ​ປ້ອງ​ກັນ​ການ​ບຸກ​ລຸກ​ເຄືອ​ຂ່າຍ​ Meerkat 5.0, ເຊິ່ງສະຫນອງເຄື່ອງມືສໍາລັບການກວດກາການສັນຈອນປະເພດຕ່າງໆ. ໃນການຕັ້ງຄ່າ Suricata ມັນເປັນໄປໄດ້ທີ່ຈະໃຊ້ ຖານຂໍ້ມູນລາຍເຊັນ, ພັດທະນາໂດຍໂຄງການ Snort, ເຊັ່ນດຽວກັນກັບຊຸດຂອງກົດລະບຽບ ໄພຂົ່ມຂູ່ທີ່ເກີດຂື້ນ и Emerging Threats Pro. ແຫຼ່ງໂຄງການ ແຜ່​ກະ​ຈາຍ​ເຊື້ອ ອະນຸຍາດພາຍໃຕ້ GPLv2.

ການປ່ຽນແປງຕົ້ນຕໍ:

• ໂມດູນໃຫມ່ສໍາລັບ parsing ແລະການເຂົ້າສູ່ລະບົບ protocols ໄດ້ຖືກນໍາສະເຫນີ
  RDP, SNMP ແລະ SIP ຂຽນໃນ Rust. ຄວາມສາມາດໃນການເຂົ້າສູ່ລະບົບຜ່ານລະບົບຍ່ອຍ EVE ໄດ້ຖືກເພີ່ມເຂົ້າໃນໂມດູນການວິເຄາະ FTP, ສະຫນອງຜົນໄດ້ຮັບເຫດການໃນຮູບແບບ JSON;

• ນອກເຫນືອຈາກການສະຫນັບສະຫນູນວິທີການກໍານົດລູກຄ້າ JA3 TLS ທີ່ປາກົດຢູ່ໃນສະບັບສຸດທ້າຍ, ການສະຫນັບສະຫນູນວິທີການ JA3S, ອະນຸຍາດ ອີງຕາມຄຸນລັກສະນະຂອງການເຈລະຈາການເຊື່ອມຕໍ່ແລະຕົວກໍານົດການກໍານົດ, ກໍານົດສິ່ງທີ່ຊອບແວຖືກນໍາໃຊ້ເພື່ອສ້າງການເຊື່ອມຕໍ່ (ຕົວຢ່າງ, ມັນອະນຸຍາດໃຫ້ທ່ານສາມາດກໍານົດການນໍາໃຊ້ Tor ແລະຄໍາຮ້ອງສະຫມັກມາດຕະຖານອື່ນໆ). JA3 ອະນຸຍາດໃຫ້ທ່ານກໍານົດລູກຄ້າ, ແລະ JA3S ອະນຸຍາດໃຫ້ທ່ານກໍານົດເຄື່ອງແມ່ຂ່າຍ. ຜົນໄດ້ຮັບຂອງການກໍານົດສາມາດຖືກນໍາໃຊ້ໃນພາສາກໍານົດກົດລະບຽບແລະໃນບັນທຶກ;
• ເພີ່ມຄວາມສາມາດໃນການທົດລອງເພື່ອຈັບຄູ່ຕົວຢ່າງຈາກຊຸດຂໍ້ມູນຂະຫນາດໃຫຍ່, ປະຕິບັດໂດຍໃຊ້ການດໍາເນີນງານໃຫມ່ ຊຸດຂໍ້ມູນ ແລະ datarep. ຕົວຢ່າງ, ຄຸນນະສົມບັດແມ່ນໃຊ້ໄດ້ກັບການຊອກຫາຫນ້າກາກໃນບັນຊີດໍາຂະຫນາດໃຫຍ່ທີ່ມີລ້ານລາຍການ;
• ຮູບແບບການກວດສອບ HTTP ສະຫນອງການຄຸ້ມຄອງຢ່າງເຕັມທີ່ຂອງສະຖານະການທັງຫມົດທີ່ອະທິບາຍໄວ້ໃນຊຸດທົດສອບ HTTP Evader (ຕົວຢ່າງ, ກວມເອົາເຕັກນິກທີ່ໃຊ້ເພື່ອຊ່ອນກິດຈະກໍາທີ່ເປັນອັນຕະລາຍໃນການຈະລາຈອນ);
• ເຄື່ອງມືສໍາລັບການພັດທະນາໂມດູນໃນພາສາ Rust ໄດ້ຖືກໂອນຈາກທາງເລືອກໄປສູ່ຄວາມສາມາດມາດຕະຖານບັງຄັບ. ໃນອະນາຄົດ, ມັນໄດ້ຖືກວາງແຜນທີ່ຈະຂະຫຍາຍການນໍາໃຊ້ Rust ໃນຖານລະຫັດໂຄງການແລະຄ່ອຍໆປ່ຽນໂມດູນທີ່ມີ analogues ພັດທະນາໃນ Rust;
• ເຄື່ອງຈັກຄໍານິຍາມຂອງໂປໂຕຄອນໄດ້ຖືກປັບປຸງເພື່ອປັບປຸງຄວາມຖືກຕ້ອງແລະຈັດການກັບການໄຫຼວຽນຂອງການຈະລາຈອນ asynchronous;
• ການຮອງຮັບປະເພດການເຂົ້າ “ຜິດປົກກະຕິ” ໃໝ່ໄດ້ຖືກເພີ່ມເຂົ້າໃນບັນທຶກ EVE, ເຊິ່ງເກັບຮັກສາເຫດການທີ່ບໍ່ທຳມະດາທີ່ກວດພົບໃນເວລາຖອດລະຫັດແພັກເກັດ. EVE ຍັງໄດ້ຂະຫຍາຍການສະແດງຂໍ້ມູນກ່ຽວກັບ VLANs ແລະການໂຕ້ຕອບການຈັບພາບການຈະລາຈອນ. ທາງເລືອກທີ່ເພີ່ມເພື່ອບັນທຶກສ່ວນຫົວ HTTP ທັງໝົດໃນລາຍການບັນທຶກ EVE http;
• ຕົວຈັດການທີ່ອີງໃສ່ eBPF ສະຫນອງການສະຫນັບສະຫນູນກົນໄກຮາດແວສໍາລັບການເລັ່ງການຈັບແພັກເກັດ. ການເລັ່ງຮາດແວແມ່ນຈໍາກັດຢູ່ໃນອະແດບເຕີເຄືອຂ່າຍ Netronome, ແຕ່ໃນໄວໆນີ້ຈະມີໃຫ້ສໍາລັບອຸປະກອນອື່ນໆ;
• ລະຫັດສໍາລັບການຈັບການຈະລາຈອນໂດຍໃຊ້ກອບ Netmap ໄດ້ຖືກຂຽນຄືນໃຫມ່. ເພີ່ມຄວາມສາມາດໃນການໃຊ້ຄຸນສົມບັດ Netmap ຂັ້ນສູງເຊັ່ນ: ສະວິດສະເໝືອນ VALE;
• ເພີ່ມແລ້ວ ສະຫນັບສະຫນູນໂຄງການຄໍານິຍາມຄໍາຫລັກໃຫມ່ສໍາລັບ Sticky Buffers. ໂຄງການໃຫມ່ແມ່ນຖືກກໍານົດໃນຮູບແບບ "protocol.buffer", ສໍາລັບການຍົກຕົວຢ່າງ, ສໍາລັບການກວດສອບ URI, ຄໍາສໍາຄັນຈະເປັນຮູບແບບ "http.uri" ແທນທີ່ຈະເປັນ "http_uri";
• ລະຫັດ Python ທັງໝົດທີ່ໃຊ້ແມ່ນໄດ້ຮັບການທົດສອບຄວາມເຂົ້າກັນໄດ້ກັບ
  Python3;

• ສະຫນັບສະຫນູນສະຖາປັດຕະຍະກໍາ Tilera, ບັນທຶກຂໍ້ຄວາມ dns.log ແລະໄຟລ໌ບັນທຶກເກົ່າ -json.log ໄດ້ຖືກຢຸດເຊົາ.

ຄຸນ​ນະ​ສົມ​ບັດ​ຂອງ Suricata​:

• ການນໍາໃຊ້ຮູບແບບປະສົມປະສານເພື່ອສະແດງຜົນການສະແກນ ເອກະພາບ2, ຍັງຖືກນໍາໃຊ້ໂດຍໂຄງການ Snort, ເຊິ່ງອະນຸຍາດໃຫ້ນໍາໃຊ້ເຄື່ອງມືການວິເຄາະມາດຕະຖານເຊັ່ນ: barnyard2. ຄວາມເປັນໄປໄດ້ຂອງການເຊື່ອມໂຍງກັບຜະລິດຕະພັນ BASE, Snorby, Sguil ແລະ SQueRT. ສະຫນັບສະຫນູນຜົນຜະລິດ PCAP;
• ສະຫນັບສະຫນູນການກວດສອບອັດຕະໂນມັດຂອງໂປໂຕຄອນ (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB, ແລະອື່ນໆ), ອະນຸຍາດໃຫ້ທ່ານສາມາດດໍາເນີນການໃນກົດລະບຽບພຽງແຕ່ປະເພດໂປໂຕຄອນ, ໂດຍບໍ່ມີການອ້າງອີງໃສ່ຫມາຍເລກພອດ (ຕົວຢ່າງເຊັ່ນ, ຕັນ HTTP. ການຈະລາຈອນຢູ່ໃນທ່າເຮືອທີ່ບໍ່ແມ່ນມາດຕະຖານ). ຄວາມພ້ອມຂອງຕົວຖອດລະຫັດສໍາລັບ HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP ແລະ SSH protocols;
• ລະບົບການວິເຄາະການຈະລາຈອນ HTTP ທີ່ມີປະສິດທິພາບທີ່ໃຊ້ຫ້ອງສະຫມຸດ HTP ພິເສດທີ່ສ້າງໂດຍຜູ້ຂຽນຂອງໂຄງການ Mod_Security ເພື່ອວິເຄາະແລະເຮັດໃຫ້ການຈະລາຈອນ HTTP ເປັນປົກກະຕິ. ໂມດູນມີໄວ້ສໍາລັບການຮັກສາບັນທຶກລາຍລະອຽດຂອງການໂອນ HTTP; ບັນທຶກຈະຖືກບັນທຶກໄວ້ໃນຮູບແບບມາດຕະຖານ
  Apache. ການດຶງຂໍ້ມູນ ແລະກວດສອບໄຟລ໌ທີ່ສົ່ງຜ່ານ HTTP ແມ່ນຮອງຮັບ. ຮອງຮັບການແຍກວິເຄາະເນື້ອໃນທີ່ຖືກບີບອັດ. ຄວາມສາມາດໃນການກໍານົດໂດຍ URI, Cookie, headers, user-agent, request/respons body;

• ສະຫນັບສະຫນູນການໂຕ້ຕອບຕ່າງໆສໍາລັບການສະກັດການຈະລາຈອນ, ລວມທັງ NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. ມັນເປັນໄປໄດ້ທີ່ຈະວິເຄາະໄຟລ໌ທີ່ບັນທຶກໄວ້ແລ້ວໃນຮູບແບບ PCAP;
• ປະສິດທິພາບສູງ, ຄວາມສາມາດໃນການປະມວນຜົນການໄຫຼສູງເຖິງ 10 gigabits / ວິນາທີໃນອຸປະກອນທໍາມະດາ.
• ກົນໄກການຈັບຄູ່ຫນ້າກາກປະສິດທິພາບສູງສໍາລັບຊຸດໃຫຍ່ຂອງທີ່ຢູ່ IP. ສະຫນັບສະຫນູນການເລືອກເນື້ອຫາໂດຍຫນ້າກາກແລະການສະແດງອອກປົກກະຕິ. ການແຍກໄຟລ໌ອອກຈາກການຈະລາຈອນ, ລວມທັງການກໍານົດຂອງເຂົາເຈົ້າໂດຍຊື່, ປະເພດຫຼື MD5 checksum.
• ຄວາມສາມາດໃນການນໍາໃຊ້ຕົວແປໃນກົດລະບຽບ: ທ່ານສາມາດບັນທຶກຂໍ້ມູນຈາກສາຍນ້ໍາແລະຕໍ່ມາໃຊ້ມັນໃນກົດລະບຽບອື່ນໆ;
• ການນໍາໃຊ້ຮູບແບບ YAML ໃນໄຟລ໌ການຕັ້ງຄ່າ, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດຮັກສາຄວາມຊັດເຈນໃນຂະນະທີ່ງ່າຍຕໍ່ການຂະບວນການເຄື່ອງຈັກ;
• ສະຫນັບສະຫນູນ IPv6 ຢ່າງເຕັມທີ່;
• ເຄື່ອງຈັກໃນຕົວສໍາລັບການ defragmentation ອັດຕະໂນມັດແລະ reassembly ຂອງ packets, ອະນຸຍາດໃຫ້ສໍາລັບການປຸງແຕ່ງທີ່ຖືກຕ້ອງຂອງສາຍນ້ໍາ, ໂດຍບໍ່ຄໍານຶງເຖິງຄໍາສັ່ງທີ່ packets ມາຮອດ;
• ສະຫນັບສະຫນູນສໍາລັບ tunneling protocols: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
• ຮອງຮັບການຖອດລະຫັດແພັກເກັດ: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
• ໂຫມດສໍາລັບການບັນທຶກລະຫັດ ແລະໃບຢັ້ງຢືນທີ່ປາກົດຢູ່ພາຍໃນການເຊື່ອມຕໍ່ TLS/SSL;
• ຄວາມສາມາດໃນການຂຽນສະຄິບໃນ Lua ເພື່ອສະຫນອງການວິເຄາະຂັ້ນສູງແລະປະຕິບັດຄວາມສາມາດເພີ່ມເຕີມທີ່ຈໍາເປັນເພື່ອກໍານົດປະເພດຂອງການຈະລາຈອນທີ່ກົດລະບຽບມາດຕະຖານບໍ່ພຽງພໍ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru