ປ່ອຍລະບົບກວດຈັບການບຸກລຸກ Suricata 6.0

ຫຼັງຈາກປີແຫ່ງການພັດທະນາ, ອົງການ OISF (Open Information Security Foundation). ຈັດພີມມາ ປ່ອຍ​ລະ​ບົບ​ການ​ກວດ​ສອບ​ແລະ​ປ້ອງ​ກັນ​ການ​ບຸກ​ລຸກ​ເຄືອ​ຂ່າຍ​ Meerkat 6.0, ເຊິ່ງສະຫນອງເຄື່ອງມືສໍາລັບການກວດກາການສັນຈອນປະເພດຕ່າງໆ. ໃນການຕັ້ງຄ່າ Suricata ມັນເປັນໄປໄດ້ທີ່ຈະໃຊ້ ຖານຂໍ້ມູນລາຍເຊັນ, ພັດທະນາໂດຍໂຄງການ Snort, ເຊັ່ນດຽວກັນກັບຊຸດຂອງກົດລະບຽບ ໄພຂົ່ມຂູ່ທີ່ເກີດຂື້ນ и Emerging Threats Pro. ແຫຼ່ງໂຄງການ ແຜ່​ກະ​ຈາຍ​ເຊື້ອ ອະນຸຍາດພາຍໃຕ້ GPLv2.

ການປ່ຽນແປງຕົ້ນຕໍ:

• ການຊ່ວຍເຫຼືອເບື້ອງຕົ້ນສໍາລັບ HTTP/2.
• ສະຫນັບສະຫນູນສໍາລັບໂປໂຕຄອນ RFB ແລະ MQTT, ລວມທັງຄວາມສາມາດໃນການກໍານົດໂປໂຕຄອນແລະຮັກສາບັນທຶກ.
• ຄວາມເປັນໄປໄດ້ຂອງການບັນທຶກສໍາລັບໂປໂຕຄອນ DCERPC.
• ການປັບປຸງທີ່ສໍາຄັນໃນການປະຕິບັດການບັນທຶກຜ່ານລະບົບຍ່ອຍ EVE, ເຊິ່ງສະຫນອງຜົນໄດ້ຮັບເຫດການໃນຮູບແບບ JSON. ການເລັ່ງໄດ້ບັນລຸໄດ້ຍ້ອນການນໍາໃຊ້ຕົວສ້າງຫຼັກຊັບ JSON ໃຫມ່ທີ່ຂຽນເປັນພາສາ Rust.
• ຄວາມສາມາດໃນການຂະຫຍາຍຂອງລະບົບບັນທຶກ EVE ໄດ້ເພີ່ມຂຶ້ນແລະຄວາມສາມາດໃນການຮັກສາໄຟລ໌ບັນທຶກແຍກຕ່າງຫາກສໍາລັບແຕ່ລະກະທູ້ໄດ້ຖືກປະຕິບັດ.
• ຄວາມສາມາດໃນການກໍານົດເງື່ອນໄຂສໍາລັບການຕັ້ງຂໍ້ມູນໃຫມ່ໃນບັນທຶກ.
• ຄວາມເປັນໄປໄດ້ຂອງການສະທ້ອນທີ່ຢູ່ MAC ໃນບັນທຶກ EVE ແລະເພີ່ມລາຍລະອຽດຂອງບັນທຶກ DNS.
• ການປັບປຸງປະສິດທິພາບຂອງເຄື່ອງຈັກໃນການໄຫຼ.
• ສະຫນັບສະຫນູນການກໍານົດການປະຕິບັດ SSH (ແຮຊ).
• ການປະຕິບັດຕົວຖອດລະຫັດອຸໂມງ GENEVE.
• ລະຫັດສໍາລັບການປະມວນຜົນໄດ້ຖືກຂຽນຄືນໃຫມ່ໃນພາສາ Rust ASN.1, DCERPC ແລະ SSH. Rust ຍັງສະຫນັບສະຫນູນໂປໂຕຄອນໃຫມ່.
• ໃນພາສາຄໍານິຍາມກົດລະບຽບ, ການສະຫນັບສະຫນູນພາລາມິເຕີ from_end ໄດ້ຖືກເພີ່ມເຂົ້າໃນຄໍາສໍາຄັນ byte_jump, ແລະການສະຫນັບສະຫນູນສໍາລັບພາລາມິເຕີ bitmask ໄດ້ຖືກເພີ່ມເຂົ້າໃນ byte_test. ປະຕິບັດຄໍາສໍາຄັນ pcrexform ເພື່ອອະນຸຍາດໃຫ້ໃຊ້ການສະແດງອອກປົກກະຕິ (pcre) ເພື່ອເກັບກໍາຂໍ້ຄວາມຍ່ອຍ. ເພີ່ມການແປງ urldecode. ເພີ່ມຄໍາສໍາຄັນ byte_math.
• ໃຫ້ຄວາມສາມາດໃນການໃຊ້ cbindgen ເພື່ອສ້າງການຜູກມັດໃນພາສາ Rust ແລະ C.
• ເພີ່ມການສະຫນັບສະຫນູນ plugin ເບື້ອງຕົ້ນ.

ຄຸນ​ນະ​ສົມ​ບັດ​ຂອງ Suricata​:

• ການນໍາໃຊ້ຮູບແບບປະສົມປະສານເພື່ອສະແດງຜົນການສະແກນ ເອກະພາບ2, ຍັງຖືກນໍາໃຊ້ໂດຍໂຄງການ Snort, ເຊິ່ງອະນຸຍາດໃຫ້ນໍາໃຊ້ເຄື່ອງມືການວິເຄາະມາດຕະຖານເຊັ່ນ: barnyard2. ຄວາມເປັນໄປໄດ້ຂອງການເຊື່ອມໂຍງກັບຜະລິດຕະພັນ BASE, Snorby, Sguil ແລະ SQueRT. ສະຫນັບສະຫນູນຜົນຜະລິດ PCAP;
• ສະຫນັບສະຫນູນການກວດສອບອັດຕະໂນມັດຂອງໂປໂຕຄອນ (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB, ແລະອື່ນໆ), ອະນຸຍາດໃຫ້ທ່ານສາມາດດໍາເນີນການໃນກົດລະບຽບພຽງແຕ່ປະເພດໂປໂຕຄອນ, ໂດຍບໍ່ມີການອ້າງອີງໃສ່ຫມາຍເລກພອດ (ຕົວຢ່າງເຊັ່ນ, ຕັນ HTTP. ການຈະລາຈອນຢູ່ໃນທ່າເຮືອທີ່ບໍ່ແມ່ນມາດຕະຖານ). ຄວາມພ້ອມຂອງຕົວຖອດລະຫັດສໍາລັບ HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP ແລະ SSH protocols;
• ລະບົບການວິເຄາະການຈະລາຈອນ HTTP ທີ່ມີປະສິດທິພາບທີ່ໃຊ້ຫ້ອງສະຫມຸດ HTP ພິເສດທີ່ສ້າງໂດຍຜູ້ຂຽນຂອງໂຄງການ Mod_Security ເພື່ອວິເຄາະແລະເຮັດໃຫ້ການຈະລາຈອນ HTTP ເປັນປົກກະຕິ. ໂມດູນມີໄວ້ສໍາລັບການຮັກສາບັນທຶກລາຍລະອຽດຂອງການໂອນ HTTP; ບັນທຶກຈະຖືກບັນທຶກໄວ້ໃນຮູບແບບມາດຕະຖານ
  Apache. ການດຶງຂໍ້ມູນ ແລະກວດສອບໄຟລ໌ທີ່ສົ່ງຜ່ານ HTTP ແມ່ນຮອງຮັບ. ຮອງຮັບການແຍກວິເຄາະເນື້ອໃນທີ່ຖືກບີບອັດ. ຄວາມສາມາດໃນການກໍານົດໂດຍ URI, Cookie, headers, user-agent, request/respons body;

• ສະຫນັບສະຫນູນການໂຕ້ຕອບຕ່າງໆສໍາລັບການສະກັດການຈະລາຈອນ, ລວມທັງ NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. ມັນເປັນໄປໄດ້ທີ່ຈະວິເຄາະໄຟລ໌ທີ່ບັນທຶກໄວ້ແລ້ວໃນຮູບແບບ PCAP;
• ປະສິດທິພາບສູງ, ຄວາມສາມາດໃນການປະມວນຜົນການໄຫຼສູງເຖິງ 10 gigabits / ວິນາທີໃນອຸປະກອນທໍາມະດາ.
• ກົນໄກການຈັບຄູ່ຫນ້າກາກປະສິດທິພາບສູງສໍາລັບຊຸດໃຫຍ່ຂອງທີ່ຢູ່ IP. ສະຫນັບສະຫນູນການເລືອກເນື້ອຫາໂດຍຫນ້າກາກແລະການສະແດງອອກປົກກະຕິ. ການແຍກໄຟລ໌ອອກຈາກການຈະລາຈອນ, ລວມທັງການກໍານົດຂອງເຂົາເຈົ້າໂດຍຊື່, ປະເພດຫຼື MD5 checksum.
• ຄວາມສາມາດໃນການນໍາໃຊ້ຕົວແປໃນກົດລະບຽບ: ທ່ານສາມາດບັນທຶກຂໍ້ມູນຈາກສາຍນ້ໍາແລະຕໍ່ມາໃຊ້ມັນໃນກົດລະບຽບອື່ນໆ;
• ການນໍາໃຊ້ຮູບແບບ YAML ໃນໄຟລ໌ການຕັ້ງຄ່າ, ເຊິ່ງຊ່ວຍໃຫ້ທ່ານສາມາດຮັກສາຄວາມຊັດເຈນໃນຂະນະທີ່ງ່າຍຕໍ່ການຂະບວນການເຄື່ອງຈັກ;
• ສະຫນັບສະຫນູນ IPv6 ຢ່າງເຕັມທີ່;
• ເຄື່ອງຈັກໃນຕົວສໍາລັບການ defragmentation ອັດຕະໂນມັດແລະ reassembly ຂອງ packets, ອະນຸຍາດໃຫ້ສໍາລັບການປຸງແຕ່ງທີ່ຖືກຕ້ອງຂອງສາຍນ້ໍາ, ໂດຍບໍ່ຄໍານຶງເຖິງຄໍາສັ່ງທີ່ packets ມາຮອດ;
• ສະຫນັບສະຫນູນສໍາລັບ tunneling protocols: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
• ຮອງຮັບການຖອດລະຫັດແພັກເກັດ: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
• ໂຫມດສໍາລັບການບັນທຶກລະຫັດ ແລະໃບຢັ້ງຢືນທີ່ປາກົດຢູ່ພາຍໃນການເຊື່ອມຕໍ່ TLS/SSL;
• ຄວາມສາມາດໃນການຂຽນສະຄິບໃນ Lua ເພື່ອສະຫນອງການວິເຄາະຂັ້ນສູງແລະປະຕິບັດຄວາມສາມາດເພີ່ມເຕີມທີ່ຈໍາເປັນເພື່ອກໍານົດປະເພດຂອງການຈະລາຈອນທີ່ກົດລະບຽບມາດຕະຖານບໍ່ພຽງພໍ.

ແຫຼ່ງຂໍ້ມູນ: opennet.ru