Keluaran sistem pengesanan pencerobohan Suricata 6.0

После года разработки организация OISF (Open Information Security Foundation) опубликовала pelepasan sistem pengesanan dan pencegahan pencerobohan rangkaian Meerkat 6.0, yang menyediakan alat untuk memeriksa pelbagai jenis lalu lintas. Dalam konfigurasi Suricata adalah mungkin untuk digunakan pangkalan data tandatangan, dibangunkan oleh projek Snort, serta set peraturan Ancaman Muncul и Ancaman Muncul Pro. Sumber projek sebar dilesenkan di bawah GPLv2.

Perubahan utama:

• Начальная поддержка HTTP/2.
• Поддержка протоколов RFB и MQTT, включая возможность определения протокола и ведения лога.
• Возможность ведения лога для протокола DCERPC.
• Значительное повышение производительности ведения лога через подсистему EVE, обеспечивающую вывод событий в формате JSON. Ускорение достигнуто благодаря задействованию нового построитель сток JSON, написанного на языке Rust.
• Повышена масштабируемость системы логов EVE и реализована возможность ведения отельного лог-файла на каждый поток.
• Возможность определения условий для сброса сведений в лог.
• Возможность отражения MAC-адресов в логе EVE и повышение детализации лога DNS.
• Повышение производительности движка обработки потоков (flow engine).
• Поддержка идентификации реализаций SSH (HASSH).
• Реализация декодировщика туннелей GENEVE.
• На языке Rust переписан код для обработки ASN.1, DCERPC и SSH. На Rust также реализована поддержка новых протоколов.
• В языке определения правил в ключевом слове byte_jump добавлена поддержка параметра from_end, а в byte_test — параметра bitmask. Реализовано ключевое слово pcrexform, позволяющее использовать регулярные выражения (pcre) для захвата подстроки. Добавлено преобразование urldecode. Добавлено ключевое слово byte_math.
• Предоставления возможность использования cbindgen для генерации привязок на языках Rust и C.
• Добавлена начальная поддержка плагинов.

Ciri-ciri Suricata:

• Menggunakan format bersatu untuk memaparkan hasil imbasan Bersatu2, juga digunakan oleh projek Snort, yang membenarkan penggunaan alat analisis standard seperti barnyard2. Kemungkinan integrasi dengan produk BASE, Snorby, Sguil dan SQueRT. Sokongan keluaran PCAP;
• Sokongan untuk pengesanan automatik protokol (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB, dll.), membolehkan anda beroperasi dalam peraturan hanya mengikut jenis protokol, tanpa merujuk kepada nombor port (contohnya, blok HTTP trafik di pelabuhan bukan standard) . Ketersediaan penyahkod untuk protokol HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP dan SSH;
• Sistem analisis trafik HTTP yang berkuasa yang menggunakan perpustakaan HTP khas yang dicipta oleh pengarang projek Mod_Security untuk menghuraikan dan menormalkan trafik HTTP. Modul tersedia untuk mengekalkan log terperinci pemindahan HTTP transit; log disimpan dalam format standard
  Apache. Mendapatkan semula dan menyemak fail yang dihantar melalui HTTP disokong. Sokongan untuk menghuraikan kandungan termampat. Keupayaan untuk mengenal pasti melalui URI, Kuki, pengepala, ejen pengguna, badan permintaan/tindak balas;

• Sokongan untuk pelbagai antara muka untuk pemintasan trafik, termasuk NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Ia adalah mungkin untuk menganalisis fail yang telah disimpan dalam format PCAP;
• Prestasi tinggi, keupayaan untuk memproses aliran sehingga 10 gigabit/saat pada peralatan konvensional.
• Mekanisme padanan topeng berprestasi tinggi untuk set alamat IP yang besar. Sokongan untuk memilih kandungan dengan topeng dan ungkapan biasa. Mengasingkan fail daripada trafik, termasuk pengenalannya mengikut nama, jenis atau MD5 checksum.
• Keupayaan untuk menggunakan pembolehubah dalam peraturan: anda boleh menyimpan maklumat daripada aliran dan kemudian menggunakannya dalam peraturan lain;
• Penggunaan format YAML dalam fail konfigurasi, yang membolehkan anda mengekalkan kejelasan semasa proses mesin mudah;
• Sokongan IPv6 penuh;
• Enjin terbina dalam untuk defragmentasi automatik dan pemasangan semula paket, membolehkan pemprosesan strim yang betul, tanpa mengira susunan paket tiba;
• Sokongan untuk protokol terowong: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
• Sokongan penyahkodan paket: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
• Mod untuk kunci log dan sijil yang muncul dalam sambungan TLS/SSL;
• Keupayaan untuk menulis skrip dalam Lua untuk menyediakan analisis lanjutan dan melaksanakan keupayaan tambahan yang diperlukan untuk mengenal pasti jenis trafik yang peraturan standardnya tidak mencukupi.

Sumber: opennet.ru