Ослободување на системот за откривање на упад Suricata 6.0

После года разработки организация OISF (Open Information Security Foundation) објавено ослободување на системот за откривање и спречување на упади во мрежата Meerkat 6.0, кој обезбедува алатки за проверка на различни видови сообраќај. Во конфигурациите на Suricata е можно да се користи бази на податоци за потпис, развиен од проектот Snort, како и множества правила Појавни закани и Емерging Threats Pro. Извори на проектот ширење лиценцирана според GPLv2.

Главни промени:

• Начальная поддержка HTTP/2.
• Поддержка протоколов RFB и MQTT, включая возможность определения протокола и ведения лога.
• Возможность ведения лога для протокола DCERPC.
• Значительное повышение производительности ведения лога через подсистему EVE, обеспечивающую вывод событий в формате JSON. Ускорение достигнуто благодаря задействованию нового построитель сток JSON, написанного на языке Rust.
• Повышена масштабируемость системы логов EVE и реализована возможность ведения отельного лог-файла на каждый поток.
• Возможность определения условий для сброса сведений в лог.
• Возможность отражения MAC-адресов в логе EVE и повышение детализации лога DNS.
• Повышение производительности движка обработки потоков (flow engine).
• Поддержка идентификации реализаций SSH (HASSH).
• Реализация декодировщика туннелей GENEVE.
• На языке Rust переписан код для обработки ASN.1, DCERPC и SSH. На Rust также реализована поддержка новых протоколов.
• В языке определения правил в ключевом слове byte_jump добавлена поддержка параметра from_end, а в byte_test — параметра bitmask. Реализовано ключевое слово pcrexform, позволяющее использовать регулярные выражения (pcre) для захвата подстроки. Добавлено преобразование urldecode. Добавлено ключевое слово byte_math.
• Предоставления возможность использования cbindgen для генерации привязок на языках Rust и C.
• Добавлена начальная поддержка плагинов.

Карактеристики на Suricata:

• Користење на унифициран формат за прикажување на резултатите од скенирањето Унифициран2, користен и од проектот Snort, кој овозможува користење на стандардни алатки за анализа како на пр штала2. Можност за интеграција со производите BASE, Snorby, Sguil и SQueRT. PCAP излезна поддршка;
• Поддршка за автоматско откривање на протоколи (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB, итн.), што ви овозможува да работите во правила само по тип на протокол, без повикување на бројот на портата (на пример, блокирајте HTTP сообраќај на нестандардно пристаниште) . Достапност на декодери за HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP и SSH протоколи;
• Моќен систем за анализа на сообраќајот HTTP кој користи специјална HTP библиотека создадена од авторот на проектот Mod_Security за анализа и нормализирање на HTTP сообраќајот. Достапен е модул за одржување детален дневник на транзитни HTTP трансфери; дневникот е зачуван во стандарден формат
  Апачи. Поддржано е преземање и проверка на датотеки пренесени преку HTTP. Поддршка за парсирање на компресирана содржина. Способност за идентификување по URI, колачиња, заглавија, кориснички агент, тело за барање/одговор;

• Поддршка за различни интерфејси за следење на сообраќајот, вклучувајќи NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Можно е да се анализираат веќе зачуваните датотеки во формат PCAP;
• Високи перформанси, способност за обработка на текови до 10 гигабити/сек на конвенционална опрема.
• Механизам за совпаѓање со маски со високи перформанси за големи групи на IP адреси. Поддршка за избор на содржина со маска и регуларни изрази. Изолирање на датотеки од сообраќај, вклучително и нивна идентификација по име, тип или контролна сума MD5.
• Способност за користење променливи во правилата: можете да зачувате информации од стрим и подоцна да ги користите во други правила;
• Употреба на формат YAML во конфигурациските датотеки, што ви овозможува да одржувате јасност додека е лесна за обработка;
• Целосна поддршка за IPv6;
• Вграден мотор за автоматска дефрагментација и повторно склопување на пакети, овозможувајќи правилна обработка на потоци, без оглед на редоследот по кој пристигнуваат пакетите;
• Поддршка за протоколи за тунелирање: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
• Поддршка за декодирање на пакети: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
• Режим за логирање клучеви и сертификати кои се појавуваат во TLS/SSL конекции;
• Способност да се пишуваат скрипти во Луа за да се обезбеди напредна анализа и да се имплементираат дополнителни способности потребни за да се идентификуваат видовите сообраќај за кои стандардните правила не се доволни.

Извор: opennet.ru