Suricata 5.0 တိုက်ခိုက်မှုကို ထောက်လှမ်းခြင်းစနစ် ရရှိနိုင်သည်။

OISF (Open Information Security Foundation) အဖွဲ့၊ ထုတ်ဝေခဲ့သည် ကွန်ရက်ကျူးကျော်မှုကို ထောက်လှမ်းခြင်းနှင့် ကာကွယ်ရေးစနစ် ထုတ်ပြန်ခြင်း။ Meerkat ၄.၀ယာဉ်အသွားအလာ အမျိုးအစား အမျိုးမျိုးကို စစ်ဆေးရန် နည်းလမ်းကို ပံ့ပိုးပေးသည်။ Suricata ဖွဲ့စည်းမှုပုံစံများတွင် ၎င်းကို အသုံးပြုခွင့်ရှိသည်။ လက်မှတ်အခြေခံများSnort ပရောဂျက်အပြင် စည်းမျဉ်းအစုံအလင်ဖြင့် တီထွင်ခဲ့သည်။ ပေါ်ပေါက်လာသော ခြိမ်းခြောက်မှုများ и Emerging Threats Pro. ပရောဂျက်အရင်းအမြစ်ကုဒ် ကူးစက်ပျံ့နှံ့သည် GPLv2 အောက်တွင် လိုင်စင်ရထားသည်။

အဓိကပြောင်းလဲမှုများ-

• ပရိုတိုကောများအတွက် ခွဲခြမ်းစိတ်ဖြာခြင်းနှင့် မှတ်တမ်းရေးခြင်း မော်ဂျူးအသစ်များကို မိတ်ဆက်ခဲ့သည်။
  RDP၊ SNMP နှင့် SIP ကို ​​Rust ဖြင့်ရေးထားသည်။ JSON ဖော်မတ်ရှိ ဖြစ်ရပ်များ၏ အထွက်ကို ပံ့ပိုးပေးသည့် EVE စနစ်ခွဲမှတစ်ဆင့် လော့ဂ်လုပ်နိုင်စွမ်းကို FTP ခွဲခြမ်းစိတ်ဖြာမှု မော်ဂျူးတွင် ထည့်သွင်းထားသည်။

• ယခင်ထုတ်ဝေမှုတွင်မိတ်ဆက်ခဲ့သော JA3 TLS ကလိုင်းယင့်စစ်မှန်ကြောင်းအထောက်အထားပြနည်းလမ်းအတွက် ပံ့ပိုးမှုအပြင် နည်းလမ်းအတွက် ပံ့ပိုးမှု၊ JA3S, ခွင့်ပြုခြင်း။ ချိတ်ဆက်မှုညှိနှိုင်းမှု၏ သီးခြားများနှင့် သတ်မှတ်ထားသော ကန့်သတ်ဘောင်များပေါ်တွင် အခြေခံ၍ မည်သည့်ဆော့ဖ်ဝဲလ်ကို ချိတ်ဆက်မှုတစ်ခုကို တည်ထောင်ရန် အသုံးပြုကြောင်း ဆုံးဖြတ်ပါ (ဥပမာ၊ ၎င်းသည် သင့်အား Tor နှင့် အခြားပုံမှန်အပလီကေးရှင်းများအသုံးပြုမှုကို ဆုံးဖြတ်ရန်ခွင့်ပြုသည်)။ JA3 သည် clients များနှင့် JA3S - servers များကို သတ်မှတ်ရန် ဖြစ်နိုင်သည်။ ဆုံးဖြတ်ခြင်း၏ရလဒ်များကို စည်းမျဉ်းသတ်မှတ်ခြင်းဘာသာစကားနှင့် မှတ်တမ်းများတွင် အသုံးပြုနိုင်သည်။
• လုပ်ဆောင်ချက်အသစ်များကို အသုံးပြု၍ အကောင်အထည်ဖော်သည့် ကြီးမားသောဒေတာအတွဲနမူနာတစ်ခုနှင့် ကိုက်ညီရန် စမ်းသပ်နိုင်စွမ်းကို ထပ်လောင်းထည့်ထားသည်။ dataset နှင့် datarep. ဥပမာအားဖြင့်၊ ထည့်သွင်းမှု သန်းပေါင်းများစွာရှိသော ကြီးမားသော အမည်ပျက်စာရင်းများတွင် မျက်နှာဖုံးများကို ရှာဖွေခြင်းအတွက် လုပ်ဆောင်ချက်ကို အသုံးပြုနိုင်သည်၊
• HTTP စစ်ဆေးခြင်းမုဒ်သည် စမ်းသပ်မှုအစုံတွင်ဖော်ပြထားသည့် အခြေအနေအားလုံးကို အပြည့်အဝလွှမ်းခြုံပေးပါသည်။ HTTP Evader (ဥပမာ၊ ယာဉ်အသွားအလာတွင် အန္တရာယ်ရှိသော လုပ်ဆောင်ချက်ကို ဖုံးကွယ်ရန် အသုံးပြုသည့် နည်းလမ်းများကို ဖုံးအုပ်ထားသည်)။
• Rust module ဖွံ့ဖြိုးတိုးတက်ရေးကိရိယာများကို ရွေးချယ်မှုများမှ လိုအပ်သော စံအင်္ဂါရပ်များဆီသို့ ရွှေ့လိုက်ပါပြီ။ အနာဂတ်တွင်၊ ပရောဂျက်၏ကုဒ်အခြေခံတွင် Rust အသုံးပြုမှုကို ချဲ့ထွင်ရန် စီစဉ်ထားပြီး Rust တွင် ဖန်တီးထားသော analogues များဖြင့် မော်ဂျူးများကို တဖြည်းဖြည်း အစားထိုးရန် စီစဉ်ထားသည်။
• ပရိုတိုကော ထောက်လှမ်းခြင်း အင်ဂျင်ကို တိကျမှုနှင့် အညီအညွတ် လမ်းကြောင်း စီးဆင်းမှုများကို ကိုင်တွယ်ရာတွင် ပိုမိုကောင်းမွန်အောင် ပြုလုပ်ထားသည်။
• ပက်ကေ့ဂျ်များကို ကုဒ်နံပါတ်သုံးသည့်အခါ တွေ့ရှိရသည့် ပုံမှန်ဖြစ်ရပ်များကို သိမ်းဆည်းထားသည့် စံချိန်အသစ်တစ်ခုအတွက် ပံ့ပိုးမှုအား EVE မှတ်တမ်းတွင် ထည့်သွင်းထားသည်။ EVE သည် VLAN များနှင့် traffic capture interfaces များအကြောင်း အချက်အလက်များပြသမှုကိုလည်း တိုးချဲ့ခဲ့သည်။ EVE မှတ်တမ်း http entries များတွင် HTTP ခေါင်းစီးများအားလုံးကို သိမ်းဆည်းရန် ထပ်လောင်းရွေးချယ်မှု။
• eBPF-based လက်ကိုင်ကိရိယာများသည် packet ကိုအရှိန်မြှင့်ရန်အတွက် ဟာ့ဒ်ဝဲယန္တရားများအတွက် ပံ့ပိုးမှုပေးပါသည်။ ဟာ့ဒ်ဝဲအရှိန်မြှင့်ခြင်းကို လောလောဆယ်တွင် Netronome ကွန်ရက်အဒက်တာများတွင် ကန့်သတ်ထားသော်လည်း အခြားစက်ပစ္စည်းများအတွက် မကြာမီပေါ်လာပါမည်။
• Netmap မူဘောင်ကို အသုံးပြု၍ အသွားအလာဖမ်းယူရန်အတွက် ပြန်လည်ရေးသားထားသောကုဒ်။ virtual switch ကဲ့သို့သော အဆင့်မြင့် Netmap အင်္ဂါရပ်များကို အသုံးပြုနိုင်သည့် စွမ်းရည်ကို ထည့်သွင်းထားသည်။ ခြိုငျ့;
• ထပ်ပြောပါသည်။ Sticky Buffers အတွက် သော့ချက်စကားလုံး အဓိပ္ပါယ်ဖွင့်ဆိုချက်အသစ်အတွက် ပံ့ပိုးမှု။ အစီအစဥ်အသစ်ကို protocol.buffer ဖော်မတ်ဖြင့် သတ်မှတ်ထားသည်၊ ဥပမာအားဖြင့် URI တစ်ခုကို စူးစမ်းလေ့လာရန်၊ အဓိကစကားလုံးမှာ "http_uri" အစား "http.uri" ဖြစ်လိမ့်မည်။
• အသုံးပြုထားသော Python ကုဒ်အားလုံးနှင့် တွဲဖက်အသုံးပြုနိုင်ရန် စမ်းသပ်ထားသည်။
  Python3;

• Tilera ဗိသုကာအတွက် ပံ့ပိုးမှု၊ dns.log စာသားမှတ်တမ်းနှင့် ဖိုင်ဟောင်း-json.log မှတ်တမ်းကို ရပ်ဆိုင်းလိုက်ပါပြီ။

Suricata ၏အင်္ဂါရပ်များ

• အတည်ပြုချက်ရလဒ်များကိုပြသရန် တစ်စုတစ်စည်းတည်းဖော်မတ်ကို အသုံးပြုခြင်း။ တစ်စုတစ်စည်းတည်း ၂Snort ပရောဂျက်မှလည်း အသုံးပြုထားပြီး၊ ကဲ့သို့သော စံခွဲခြမ်းစိတ်ဖြာမှုကိရိယာများကို အသုံးပြုခွင့်ပေးသည်။ စပါးခြံ၂. BASE၊ Snorby၊ Sguil နှင့် SQueRT ထုတ်ကုန်များနှင့် ပေါင်းစပ်နိုင်မှု။ PCAP ဖော်မတ်ဖြင့် ထွက်ရှိမှုအတွက် ပံ့ပိုးမှု။
• ပရိုတိုကောများ အလိုအလျောက် ထောက်လှမ်းခြင်း (IP၊ TCP၊ UDP၊ ICMP၊ HTTP၊ TLS၊ FTP၊ SMB စသည်ဖြင့်) သည် သင့်အား ပို့တ်နံပါတ်ကို ရည်ညွှန်းခြင်းမရှိဘဲ စည်းမျဉ်းများတွင်သာ လုပ်ဆောင်ရန် ခွင့်ပြုသည့် ပရိုတိုကောအမျိုးအစား (ဥပမာ၊ စံမဟုတ်သော port တစ်ခုပေါ်တွင် HTTP အသွားအလာကိုပိတ်ဆို့ရန်။ HTTP၊ SSL၊ TLS၊ SMB၊ SMB2၊ DCERPC၊ SMTP၊ FTP နှင့် SSH ပရိုတိုကောများအတွက် ကုဒ်နံပါတ်များ
• HTTP အသွားအလာကို ခွဲခြမ်းစိတ်ဖြာပြီး ပုံမှန်ဖြစ်စေရန် Mod_Security ပရောဂျက်ရေးသားသူမှ ဖန်တီးထားသည့် အထူး HTP စာကြည့်တိုက်ကို အသုံးပြုသည့် အားကောင်းသည့် HTTP အသွားအလာ ခွဲခြမ်းစိတ်ဖြာမှုစနစ်။ အကူးအပြောင်း HTTP လွှဲပြောင်းမှုများ၏ အသေးစိတ်မှတ်တမ်းကို ထိန်းသိမ်းရန်အတွက် မော်ဂျူးတစ်ခုရနိုင်ပြီး၊ မှတ်တမ်းကို စံဖော်မတ်ဖြင့် သိမ်းဆည်းထားသည်။
  Apache။ HTTP ပရိုတိုကောမှတစ်ဆင့် လွှဲပြောင်းထားသော ဖိုင်များကို ထုတ်ယူခြင်းနှင့် အတည်ပြုခြင်းတို့ကို ပံ့ပိုးထားသည်။ ချုံ့ထားသော အကြောင်းအရာကို ခွဲခြမ်းစိတ်ဖြာရန် ပံ့ပိုးမှု။ URI၊ Cookie၊ ခေါင်းစီးများ၊ အသုံးပြုသူ-အေးဂျင့်၊ တောင်းဆိုချက်/တုံ့ပြန်မှုကိုယ်ထည်အားဖြင့် ခွဲခြားသတ်မှတ်နိုင်မှု။

• NFQueue၊ IPFRing၊ LibPcap၊ IPFW၊ AF_PACKET၊ PF_RING အပါအဝင် အသွားအလာကို ကြားဖြတ်ကြားဖြတ်ရန် အမျိုးမျိုးသော အင်တာဖေ့စ်များအတွက် ပံ့ပိုးမှု။ သိမ်းဆည်းပြီးသားဖိုင်များကို PCAP ဖော်မတ်ဖြင့် ခွဲခြမ်းစိတ်ဖြာနိုင်သည်;
• မြင့်မားသောစွမ်းဆောင်ရည်၊ သမားရိုးကျစက်ပစ္စည်းများတွင် 10 gigabits/sec အထိ stream များကိုလုပ်ဆောင်နိုင်စွမ်းရှိသည်။
• IP လိပ်စာအစုံအလင်ဖြင့် စွမ်းဆောင်ရည်မြင့်မျက်နှာဖုံးနှင့် ကိုက်ညီသောအင်ဂျင်။ မျက်နှာဖုံးနှင့် ပုံမှန်အသုံးအနှုန်းများဖြင့် အကြောင်းအရာရွေးချယ်မှုအတွက် ပံ့ပိုးမှု။ အမည်၊ အမျိုးအစား သို့မဟုတ် MD5 checksum အပါအဝင် ၎င်းတို့၏ ခွဲခြားသတ်မှတ်ခြင်း အပါအဝင် အသွားအလာမှ ဖိုင်များကို ပိုင်းခြားခြင်း။
• စည်းမျဉ်းများတွင် ကိန်းရှင်များကို သုံးနိုင်သည်- သင်သည် ထုတ်လွှင့်မှုမှ အချက်အလက်များကို သိမ်းဆည်းနိုင်ပြီး နောက်ပိုင်းတွင် ၎င်းကို အခြားစည်းမျဉ်းများတွင် အသုံးပြုနိုင်သည်။
• စက်လုပ်ဆောင်ရာတွင် လွယ်ကူစွာဖြင့် မြင်နိုင်စွမ်းကို ထိန်းသိမ်းထားနိုင်စေသည့် ဖွဲ့စည်းမှုဖိုင်များတွင် YAML ဖော်မတ်ကို အသုံးပြုခြင်း၊
• အပြည့်အဝ IPv6 ပံ့ပိုးမှု;
• packets များရောက်ရှိသည့်အစီအစဥ်ကိုမည်သို့ပင်ဖြစ်စေ streams များ၏မှန်ကန်သောလုပ်ဆောင်မှုကိုသေချာစေရန်အတွက်အလိုအလျောက် defragmentation နှင့် packets များပြန်လည်စုစည်းမှုအတွက် built-in အင်ဂျင်၊
• ဥမင်လှိုင်ခေါင်း ပရိုတိုကောများအတွက် ပံ့ပိုးမှု- Teredo၊ IP-IP၊ IP6-IP4၊ IP4-IP6၊ GRE;
• ပက်ကေ့ဂျ်စကားဝှက်ကို ပံ့ပိုးမှု- IPv4၊ IPv6၊ TCP၊ UDP၊ SCTP၊ ICMPv4၊ ICMPv6၊ GRE၊ Ethernet၊ PPP၊ PPPoE၊ Raw၊ SLL၊ VLAN;
• TLS/SSL ချိတ်ဆက်မှုများအတွင်း ပေါ်လာသည့် သော့နှင့် လက်မှတ်များအတွက် မှတ်တမ်းမုဒ်၊
• အဆင့်မြင့် ခွဲခြမ်းစိတ်ဖြာမှုကို ပေးဆောင်ရန်နှင့် စံစည်းမျဉ်းများ မလုံလောက်သည့် ယာဉ်အသွားအလာ အမျိုးအစားများကို ခွဲခြားသတ်မှတ်ရန် လိုအပ်သော ထပ်လောင်းအင်္ဂါရပ်များကို အကောင်အထည်ဖော်ရန် Lua script များကို ရေးသားနိုင်မှု။

source: opennet.ru