Suricata 5.0 हल्ला शोध प्रणाली उपलब्ध

संघटना OISF (ओपन इन्फॉर्मेशन सिक्युरिटी फाउंडेशन) प्रकाशित नेटवर्क घुसखोरी शोधणे आणि प्रतिबंध प्रणाली सोडणे मीर्कॅट 5.0, जे विविध प्रकारच्या रहदारीची तपासणी करण्यासाठी साधने प्रदान करते. Suricata कॉन्फिगरेशनमध्ये ते वापरणे शक्य आहे स्वाक्षरी डेटाबेस, Snort प्रकल्पाद्वारे विकसित केले आहे, तसेच नियमांचे संच उदयोन्मुख धोके и उदयोन्मुख धोके प्रो. प्रकल्प स्रोत प्रसार GPLv2 अंतर्गत परवानाकृत.

मुख्य बदल:

• पार्सिंग आणि लॉगिंग प्रोटोकॉलसाठी नवीन मॉड्यूल सादर केले गेले आहेत
  RDP, SNMP आणि SIP रस्टमध्ये लिहिलेले आहे. EVE उपप्रणालीद्वारे लॉग इन करण्याची क्षमता FTP पार्सिंग मॉड्यूलमध्ये जोडली गेली आहे, जेएसओएन फॉरमॅटमध्ये इव्हेंट आउटपुट प्रदान करते;

• शेवटच्या रिलीझमध्ये दिसलेल्या JA3 TLS क्लायंट ओळख पद्धतीच्या समर्थनाव्यतिरिक्त, पद्धतीसाठी समर्थन JA3S, परवानगी देणे कनेक्शन वाटाघाटी आणि निर्दिष्ट पॅरामीटर्सच्या वैशिष्ट्यांवर आधारित, कनेक्शन स्थापित करण्यासाठी कोणते सॉफ्टवेअर वापरले जाते हे निर्धारित करा (उदाहरणार्थ, ते आपल्याला टॉर आणि इतर मानक अनुप्रयोगांचा वापर निर्धारित करण्यास अनुमती देते). JA3 तुम्हाला क्लायंट परिभाषित करण्यास परवानगी देतो आणि JA3S तुम्हाला सर्व्हर परिभाषित करण्यास अनुमती देतो. निर्धाराचे परिणाम नियम सेटिंग भाषेमध्ये आणि लॉगमध्ये वापरले जाऊ शकतात;
• नवीन ऑपरेशन्स वापरून अंमलात आणलेल्या मोठ्या डेटा सेट्समधून नमुने जुळवण्याची प्रायोगिक क्षमता जोडली डेटासेट आणि डेटारेप. उदाहरणार्थ, लाखो नोंदी असलेल्या मोठ्या ब्लॅकलिस्टमध्ये मास्क शोधण्यासाठी हे वैशिष्ट्य लागू आहे;
• HTTP तपासणी मोड चाचणी सूटमध्ये वर्णन केलेल्या सर्व परिस्थितींचे संपूर्ण कव्हरेज प्रदान करतो HTTP Evader (उदा., रहदारीमधील दुर्भावनापूर्ण क्रियाकलाप लपवण्यासाठी वापरल्या जाणार्‍या तंत्रांचा समावेश करते);
• रस्ट भाषेत मॉड्यूल विकसित करण्यासाठी साधने पर्यायांमधून अनिवार्य मानक क्षमतांमध्ये हस्तांतरित केली गेली आहेत. भविष्यात, प्रोजेक्ट कोड बेसमध्ये रस्टचा वापर वाढवण्याची आणि हळूहळू रस्टमध्ये विकसित केलेल्या अॅनालॉगसह मॉड्यूल पुनर्स्थित करण्याची योजना आहे;
• अचूकता सुधारण्यासाठी आणि असिंक्रोनस रहदारी प्रवाह हाताळण्यासाठी प्रोटोकॉल परिभाषा इंजिन सुधारित केले गेले आहे;
• EVE लॉगमध्ये नवीन "विसंगती" एंट्री प्रकारासाठी समर्थन जोडले गेले आहे, जे पॅकेट्स डीकोड करताना आढळलेल्या असामान्य घटना संग्रहित करते. EVE ने VLAN आणि ट्रॅफिक कॅप्चर इंटरफेस बद्दल माहितीचे प्रदर्शन देखील वाढवले ​​आहे. EVE HTTP लॉग एंट्रीमध्ये सर्व HTTP शीर्षलेख जतन करण्यासाठी पर्याय जोडला;
• eBPF-आधारित हँडलर पॅकेट कॅप्चरला गती देण्यासाठी हार्डवेअर यंत्रणेसाठी समर्थन प्रदान करतात. हार्डवेअर प्रवेग सध्या नेट्रोनोम नेटवर्क अडॅप्टर्सपुरता मर्यादित आहे, परंतु लवकरच इतर उपकरणांसाठी उपलब्ध होईल;
• नेटमॅप फ्रेमवर्क वापरून रहदारी कॅप्चर करण्यासाठी कोड पुन्हा लिहिला गेला आहे. वर्च्युअल स्विच सारखी प्रगत नेटमॅप वैशिष्ट्ये वापरण्याची क्षमता जोडली दरी;
• जोडले स्टिकी बफर्ससाठी नवीन कीवर्ड परिभाषा योजनेसाठी समर्थन. नवीन योजना “protocol.buffer” फॉरमॅटमध्ये परिभाषित केली आहे, उदाहरणार्थ, URI ची तपासणी करण्यासाठी, कीवर्ड “http_uri” ऐवजी “http.uri” फॉर्म घेईल;
• वापरलेल्या सर्व पायथन कोडची सहत्वतेसाठी चाचणी केली जाते
  पायथन 3;

• टिलेरा आर्किटेक्चर, मजकूर लॉग dns.log आणि जुन्या लॉग फाइल्स-json.log साठी समर्थन बंद केले आहे.

Suricata ची वैशिष्ट्ये:

• स्कॅन परिणाम प्रदर्शित करण्यासाठी युनिफाइड फॉरमॅट वापरणे युनिफाइड2, Snort प्रकल्पाद्वारे देखील वापरले जाते, जे मानक विश्लेषण साधनांचा वापर करण्यास अनुमती देते जसे की बार्नयार्ड2. BASE, Snorby, Sguil आणि SQueRT उत्पादनांसह एकत्रीकरणाची शक्यता. PCAP आउटपुट समर्थन;
• प्रोटोकॉल (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB, इ.) च्या स्वयंचलित शोधासाठी समर्थन, पोर्ट नंबरचा संदर्भ न घेता, तुम्हाला फक्त प्रोटोकॉल प्रकारानुसार नियमांमध्ये ऑपरेट करण्याची परवानगी देते (उदाहरणार्थ, HTTP ब्लॉक करा. नॉन-स्टँडर्ड पोर्टवरील रहदारी). HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP आणि SSH प्रोटोकॉलसाठी डीकोडरची उपलब्धता;
• HTTP ट्रॅफिक पार्स आणि सामान्य करण्यासाठी Mod_Security प्रकल्पाच्या लेखकाने तयार केलेली विशेष HTP लायब्ररी वापरणारी एक शक्तिशाली HTTP रहदारी विश्लेषण प्रणाली. ट्रान्झिट HTTP हस्तांतरणाचा तपशीलवार लॉग राखण्यासाठी मॉड्यूल उपलब्ध आहे; लॉग मानक स्वरूपात जतन केला जातो
  अपाचे. HTTP द्वारे प्रसारित केलेल्या फाइल्स पुनर्प्राप्त करणे आणि तपासणे समर्थित आहे. संकुचित सामग्री विश्लेषित करण्यासाठी समर्थन. URI, कुकी, शीर्षलेख, वापरकर्ता-एजंट, विनंती/प्रतिसाद मुख्य भागाद्वारे ओळखण्याची क्षमता;

• NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING सह ट्रॅफिक इंटरसेप्शनसाठी विविध इंटरफेससाठी समर्थन. PCAP स्वरूपात आधीच जतन केलेल्या फायलींचे विश्लेषण करणे शक्य आहे;
• उच्च कार्यक्षमता, पारंपारिक उपकरणांवर 10 गिगाबिट्स/सेकंद पर्यंत प्रवाह प्रक्रिया करण्याची क्षमता.
• IP पत्त्यांच्या मोठ्या संचांसाठी उच्च-कार्यक्षमता मुखवटा जुळणारी यंत्रणा. मुखवटा आणि नियमित अभिव्यक्तीद्वारे सामग्री निवडण्यासाठी समर्थन. नाव, प्रकार किंवा MD5 चेकसम द्वारे त्यांची ओळख यासह ट्रॅफिकमधून फाइल्स वेगळे करणे.
• नियमांमध्ये चल वापरण्याची क्षमता: तुम्ही प्रवाहातील माहिती जतन करू शकता आणि नंतर ती इतर नियमांमध्ये वापरू शकता;
• कॉन्फिगरेशन फाइल्समध्ये YAML फॉरमॅटचा वापर, जे तुम्हाला मशीन प्रक्रियेसाठी सोपे असताना स्पष्टता राखण्यास अनुमती देते;
• पूर्ण IPv6 समर्थन;
• स्वयंचलित डीफ्रॅगमेंटेशन आणि पॅकेट्सच्या पुन्हा एकत्रीकरणासाठी अंगभूत इंजिन, पॅकेट कोणत्या क्रमाने येतात याची पर्वा न करता प्रवाहांची योग्य प्रक्रिया करण्यास अनुमती देते;
• टनेलिंग प्रोटोकॉलसाठी समर्थन: टेरेडो, आयपी-आयपी, आयपी6-आयपी4, आयपी4-आयपी6, जीआरई;
• पॅकेट डीकोडिंग समर्थन: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, इथरनेट, PPP, PPPoE, Raw, SLL, VLAN;
• TLS/SSL कनेक्शनमध्ये लॉगिंग की आणि प्रमाणपत्रे दिसण्यासाठी मोड;
• प्रगत विश्लेषण प्रदान करण्यासाठी आणि ट्रॅफिकचे प्रकार ओळखण्यासाठी आवश्यक असलेल्या अतिरिक्त क्षमता लागू करण्यासाठी लुआमध्ये स्क्रिप्ट लिहिण्याची क्षमता ज्यासाठी मानक नियम पुरेसे नाहीत.

स्त्रोत: opennet.ru