Suricata 5.0 ആക്രമണം കണ്ടെത്തൽ സംവിധാനം ലഭ്യമാണ്

ഓർഗനൈസേഷൻ OISF (ഓപ്പൺ ഇൻഫർമേഷൻ സെക്യൂരിറ്റി ഫൗണ്ടേഷൻ) പ്രസിദ്ധീകരിച്ചു നെറ്റ്‌വർക്ക് നുഴഞ്ഞുകയറ്റം കണ്ടെത്തൽ, പ്രതിരോധ സംവിധാനം എന്നിവയുടെ പ്രകാശനം മീർക്കറ്റ് 5.0, ഇത് വിവിധ തരത്തിലുള്ള ട്രാഫിക് പരിശോധിക്കുന്നതിനുള്ള ഉപകരണങ്ങൾ നൽകുന്നു. Suricata കോൺഫിഗറേഷനുകളിൽ ഇത് ഉപയോഗിക്കാൻ കഴിയും സിഗ്നേച്ചർ ഡാറ്റാബേസുകൾ, Snort പ്രോജക്റ്റ് വികസിപ്പിച്ചെടുത്തത്, അതുപോലെ നിയമങ്ങളുടെ കൂട്ടം ഉയർന്നുവരുന്ന ഭീഷണികൾ и ഉയർന്നുവരുന്ന ഭീഷണികൾ പ്രോ. പ്രോജക്റ്റ് ഉറവിടങ്ങൾ വ്യാപനം GPLv2 പ്രകാരം ലൈസൻസ്.

പ്രധാന മാറ്റങ്ങൾ:

• പാഴ്‌സിംഗിനും ലോഗിംഗ് പ്രോട്ടോക്കോളുകൾക്കുമായി പുതിയ മൊഡ്യൂളുകൾ അവതരിപ്പിച്ചു
  RDP, SNMP, SIP എന്നിവ റസ്റ്റിൽ എഴുതിയിരിക്കുന്നു. EVE സബ്സിസ്റ്റം വഴി ലോഗിൻ ചെയ്യാനുള്ള കഴിവ് FTP പാഴ്സിംഗ് മൊഡ്യൂളിലേക്ക് ചേർത്തു, JSON ഫോർമാറ്റിൽ ഇവന്റ് ഔട്ട്പുട്ട് നൽകുന്നു;

• കഴിഞ്ഞ പതിപ്പിൽ പ്രത്യക്ഷപ്പെട്ട JA3 TLS ക്ലയന്റ് ഐഡന്റിഫിക്കേഷൻ രീതിക്കുള്ള പിന്തുണയ്‌ക്ക് പുറമേ, രീതിക്കുള്ള പിന്തുണ JA3S, അനുവദിക്കുന്നത് കണക്ഷൻ ചർച്ചകളുടെയും നിർദ്ദിഷ്ട പാരാമീറ്ററുകളുടെയും സവിശേഷതകളെ അടിസ്ഥാനമാക്കി, ഒരു കണക്ഷൻ സ്ഥാപിക്കാൻ ഉപയോഗിക്കുന്ന സോഫ്റ്റ്വെയർ എന്താണെന്ന് നിർണ്ണയിക്കുക (ഉദാഹരണത്തിന്, ടോറിന്റെയും മറ്റ് സ്റ്റാൻഡേർഡ് ആപ്ലിക്കേഷനുകളുടെയും ഉപയോഗം നിർണ്ണയിക്കാൻ ഇത് നിങ്ങളെ അനുവദിക്കുന്നു). ക്ലയന്റുകളെ നിർവചിക്കാൻ JA3 നിങ്ങളെ അനുവദിക്കുന്നു, കൂടാതെ സെർവറുകൾ നിർവചിക്കാൻ JA3S നിങ്ങളെ അനുവദിക്കുന്നു. നിർണ്ണയത്തിന്റെ ഫലങ്ങൾ റൂൾ സെറ്റിംഗ് ഭാഷയിലും ലോഗുകളിലും ഉപയോഗിക്കാം;
• പുതിയ പ്രവർത്തനങ്ങൾ ഉപയോഗിച്ച് നടപ്പിലാക്കിയ വലിയ ഡാറ്റാ സെറ്റുകളിൽ നിന്നുള്ള സാമ്പിളുകൾ പൊരുത്തപ്പെടുത്താനുള്ള പരീക്ഷണാത്മക കഴിവ് ചേർത്തു ഡാറ്റാസെറ്റും ഡാറ്റാറെപ്പും. ഉദാഹരണത്തിന്, ദശലക്ഷക്കണക്കിന് എൻട്രികൾ അടങ്ങിയ വലിയ ബ്ലാക്ക്‌ലിസ്റ്റുകളിൽ മാസ്‌ക്കുകൾക്കായി തിരയുന്നതിന് ഈ സവിശേഷത ബാധകമാണ്;
• ടെസ്റ്റ് സ്യൂട്ടിൽ വിവരിച്ചിരിക്കുന്ന എല്ലാ സാഹചര്യങ്ങളുടെയും പൂർണ്ണമായ കവറേജ് HTTP ഇൻസ്പെക്ഷൻ മോഡ് നൽകുന്നു HTTP എവേഡർ (ഉദാ, ട്രാഫിക്കിലെ ക്ഷുദ്രകരമായ പ്രവർത്തനം മറയ്ക്കാൻ ഉപയോഗിക്കുന്ന സാങ്കേതിക വിദ്യകൾ ഉൾക്കൊള്ളുന്നു);
• റസ്റ്റ് ഭാഷയിൽ മൊഡ്യൂളുകൾ വികസിപ്പിക്കുന്നതിനുള്ള ടൂളുകൾ ഓപ്‌ഷനുകളിൽ നിന്ന് നിർബന്ധിത സ്റ്റാൻഡേർഡ് കഴിവുകളിലേക്ക് മാറ്റി. ഭാവിയിൽ, പ്രോജക്റ്റ് കോഡ് ബേസിൽ റസ്റ്റിന്റെ ഉപയോഗം വിപുലീകരിക്കാനും ക്രമേണ മൊഡ്യൂളുകൾ റസ്റ്റിൽ വികസിപ്പിച്ച അനലോഗ് ഉപയോഗിച്ച് മാറ്റിസ്ഥാപിക്കാനും പദ്ധതിയിട്ടിട്ടുണ്ട്;
• കൃത്യത മെച്ചപ്പെടുത്തുന്നതിനും അസിൻക്രണസ് ട്രാഫിക് ഫ്ലോകൾ കൈകാര്യം ചെയ്യുന്നതിനും പ്രോട്ടോക്കോൾ ഡെഫനിഷൻ എഞ്ചിൻ മെച്ചപ്പെടുത്തിയിട്ടുണ്ട്;
• പാക്കറ്റുകൾ ഡീകോഡ് ചെയ്യുമ്പോൾ കണ്ടെത്തുന്ന അസാധാരണ സംഭവങ്ങൾ സംഭരിക്കുന്ന EVE ലോഗിലേക്ക് ഒരു പുതിയ "അനോമലി" എൻട്രി തരത്തിനുള്ള പിന്തുണ ചേർത്തു. VLAN-കളെയും ട്രാഫിക് ക്യാപ്‌ചർ ഇന്റർഫേസുകളെയും കുറിച്ചുള്ള വിവരങ്ങളുടെ പ്രദർശനവും EVE വിപുലീകരിച്ചു. EVE http ലോഗ് എൻട്രികളിൽ എല്ലാ HTTP തലക്കെട്ടുകളും സംരക്ഷിക്കുന്നതിനുള്ള ഓപ്ഷൻ ചേർത്തു;
• പാക്കറ്റ് ക്യാപ്‌ചർ ത്വരിതപ്പെടുത്തുന്നതിനുള്ള ഹാർഡ്‌വെയർ മെക്കാനിസങ്ങൾക്കുള്ള പിന്തുണ eBPF അടിസ്ഥാനമാക്കിയുള്ള ഹാൻഡ്‌ലറുകൾ നൽകുന്നു. ഹാർഡ്‌വെയർ ആക്സിലറേഷൻ നിലവിൽ നെട്രോനോം നെറ്റ്‌വർക്ക് അഡാപ്റ്ററുകളിലേക്ക് പരിമിതപ്പെടുത്തിയിരിക്കുന്നു, എന്നാൽ മറ്റ് ഉപകരണങ്ങൾക്ക് ഉടൻ ലഭ്യമാകും;
• നെറ്റ്മാപ്പ് ഫ്രെയിംവർക്ക് ഉപയോഗിച്ച് ട്രാഫിക്ക് ക്യാപ്ചർ ചെയ്യുന്നതിനുള്ള കോഡ് മാറ്റിയെഴുതി. ഒരു വെർച്വൽ സ്വിച്ച് പോലുള്ള വിപുലമായ നെറ്റ്മാപ്പ് സവിശേഷതകൾ ഉപയോഗിക്കാനുള്ള കഴിവ് ചേർത്തു Vale;
• ചേർത്തു സ്റ്റിക്കി ബഫറുകൾക്കുള്ള ഒരു പുതിയ കീവേഡ് ഡെഫനിഷൻ സ്കീമിനുള്ള പിന്തുണ. പുതിയ സ്കീം "protocol.buffer" ഫോർമാറ്റിൽ നിർവചിച്ചിരിക്കുന്നു, ഉദാഹരണത്തിന്, ഒരു URI പരിശോധിക്കുന്നതിന്, കീവേഡ് "http_uri" എന്നതിന് പകരം "http.uri" എന്ന ഫോം എടുക്കും;
• ഉപയോഗിച്ച എല്ലാ പൈത്തൺ കോഡുകളും അനുയോജ്യതയ്ക്കായി പരീക്ഷിച്ചു
  പൈത്തൺ 3;

• Tilera ആർക്കിടെക്ചർ, ടെക്സ്റ്റ് ലോഗ് dns.log, പഴയ ലോഗ് ഫയലുകൾ-json.log എന്നിവയ്ക്കുള്ള പിന്തുണ നിർത്തലാക്കി.

സുരികാറ്റയുടെ സവിശേഷതകൾ:

• സ്കാൻ ഫലങ്ങൾ പ്രദർശിപ്പിക്കുന്നതിന് ഒരു ഏകീകൃത ഫോർമാറ്റ് ഉപയോഗിക്കുന്നു ഏകീകൃത2പോലുള്ള സ്റ്റാൻഡേർഡ് വിശകലന ടൂളുകൾ ഉപയോഗിക്കാൻ അനുവദിക്കുന്ന സ്നോർട്ട് പ്രോജക്റ്റും ഉപയോഗിക്കുന്നു കളപ്പുര2. BASE, Snorby, Sguil, SQueRT ഉൽപ്പന്നങ്ങളുമായി സംയോജിപ്പിക്കാനുള്ള സാധ്യത. PCAP ഔട്ട്പുട്ട് പിന്തുണ;
• പ്രോട്ടോക്കോളുകൾ (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB, മുതലായവ) സ്വയമേവ കണ്ടെത്തുന്നതിനുള്ള പിന്തുണ, പോർട്ട് നമ്പറിനെ പരാമർശിക്കാതെ, പ്രോട്ടോക്കോൾ തരം അനുസരിച്ച് മാത്രം നിയമങ്ങളിൽ പ്രവർത്തിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു (ഉദാഹരണത്തിന്, HTTP തടയുക നിലവാരമില്ലാത്ത തുറമുഖത്ത് ട്രാഫിക്) . HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP, SSH പ്രോട്ടോക്കോളുകൾക്കുള്ള ഡീകോഡറുകളുടെ ലഭ്യത;
• HTTP ട്രാഫിക്ക് പാഴ്‌സ് ചെയ്യാനും നോർമലൈസ് ചെയ്യാനും Mod_Security പ്രോജക്റ്റിന്റെ രചയിതാവ് സൃഷ്‌ടിച്ച ഒരു പ്രത്യേക HTP ലൈബ്രറി ഉപയോഗിക്കുന്ന ശക്തമായ HTTP ട്രാഫിക് വിശകലന സംവിധാനം. ട്രാൻസിറ്റ് HTTP കൈമാറ്റങ്ങളുടെ വിശദമായ ലോഗ് നിലനിർത്തുന്നതിന് ഒരു മൊഡ്യൂൾ ലഭ്യമാണ്; ലോഗ് ഒരു സ്റ്റാൻഡേർഡ് ഫോർമാറ്റിൽ സംരക്ഷിച്ചിരിക്കുന്നു
  അപ്പാച്ചെ. HTTP വഴി കൈമാറുന്ന ഫയലുകൾ വീണ്ടെടുക്കുന്നതും പരിശോധിക്കുന്നതും പിന്തുണയ്ക്കുന്നു. കംപ്രസ് ചെയ്ത ഉള്ളടക്കം പാഴ്‌സിംഗ് ചെയ്യുന്നതിനുള്ള പിന്തുണ. URI, കുക്കി, തലക്കെട്ടുകൾ, ഉപയോക്തൃ ഏജന്റ്, അഭ്യർത്ഥന/പ്രതികരണ ബോഡി എന്നിവ ഉപയോഗിച്ച് തിരിച്ചറിയാനുള്ള കഴിവ്;

• NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING എന്നിവയുൾപ്പെടെ ട്രാഫിക് തടസ്സപ്പെടുത്തലിനുള്ള വിവിധ ഇന്റർഫേസുകൾക്കുള്ള പിന്തുണ. PCAP ഫോർമാറ്റിൽ ഇതിനകം സംരക്ഷിച്ച ഫയലുകൾ വിശകലനം ചെയ്യാൻ സാധിക്കും;
• ഉയർന്ന പ്രകടനം, പരമ്പരാഗത ഉപകരണങ്ങളിൽ 10 ഗിഗാബിറ്റ് / സെക്കൻഡ് വരെ ഫ്ലോകൾ പ്രോസസ്സ് ചെയ്യാനുള്ള കഴിവ്.
• വലിയ കൂട്ടം ഐപി വിലാസങ്ങൾക്കായുള്ള ഉയർന്ന പ്രകടനമുള്ള മാസ്ക് പൊരുത്തപ്പെടുത്തൽ സംവിധാനം. മാസ്കും പതിവ് എക്സ്പ്രഷനുകളും ഉപയോഗിച്ച് ഉള്ളടക്കം തിരഞ്ഞെടുക്കുന്നതിനുള്ള പിന്തുണ. പേര്, തരം അല്ലെങ്കിൽ MD5 ചെക്ക്സം എന്നിവ പ്രകാരം അവയുടെ തിരിച്ചറിയൽ ഉൾപ്പെടെ, ട്രാഫിക്കിൽ നിന്ന് ഫയലുകൾ വേർതിരിച്ചെടുക്കുന്നു.
• നിയമങ്ങളിൽ വേരിയബിളുകൾ ഉപയോഗിക്കാനുള്ള കഴിവ്: നിങ്ങൾക്ക് ഒരു സ്ട്രീമിൽ നിന്ന് വിവരങ്ങൾ സംരക്ഷിക്കാനും പിന്നീട് മറ്റ് നിയമങ്ങളിൽ ഉപയോഗിക്കാനും കഴിയും;
• കോൺഫിഗറേഷൻ ഫയലുകളിൽ YAML ഫോർമാറ്റിന്റെ ഉപയോഗം, മെഷീൻ പ്രോസസ്സ് ചെയ്യാൻ എളുപ്പമായിരിക്കുമ്പോൾ വ്യക്തത നിലനിർത്താൻ നിങ്ങളെ അനുവദിക്കുന്നു;
• പൂർണ്ണ IPv6 പിന്തുണ;
• പാക്കറ്റുകൾ വരുന്ന ക്രമം പരിഗണിക്കാതെ തന്നെ സ്ട്രീമുകളുടെ ശരിയായ പ്രോസസ്സിംഗ് അനുവദിക്കുന്ന, പാക്കറ്റുകളുടെ യാന്ത്രിക ഡീഫ്രാഗ്മെന്റേഷനും പുനഃസംയോജനത്തിനുമുള്ള ബിൽറ്റ്-ഇൻ എഞ്ചിൻ;
• ടണലിംഗ് പ്രോട്ടോക്കോളുകൾക്കുള്ള പിന്തുണ: ടെറെഡോ, IP-IP, IP6-IP4, IP4-IP6, GRE;
• പാക്കറ്റ് ഡീകോഡിംഗ് പിന്തുണ: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, ഇഥർനെറ്റ്, PPP, PPPoE, Raw, SLL, VLAN;
• TLS/SSL കണക്ഷനുകളിൽ ദൃശ്യമാകുന്ന കീകളും സർട്ടിഫിക്കറ്റുകളും ലോഗ് ചെയ്യുന്നതിനുള്ള മോഡ്;
• നൂതന വിശകലനം നൽകുന്നതിനും സ്റ്റാൻഡേർഡ് നിയമങ്ങൾ പര്യാപ്തമല്ലാത്ത ട്രാഫിക് തരങ്ങൾ തിരിച്ചറിയുന്നതിന് ആവശ്യമായ അധിക കഴിവുകൾ നടപ്പിലാക്കുന്നതിനും ലുവയിൽ സ്ക്രിപ്റ്റുകൾ എഴുതാനുള്ള കഴിവ്.

അവലംബം: opennet.ru