ááœá¶á·ááŒáá¯ážááá¯ážáááºááŸá¯ áá áºááŸá áºá¡ááŒá¬ááœáẠOISF (Open Information Security Foundation) á¡ááœá²á·á¡á ááºážááŒá áºáááºá ááœááºáááºáá»á°ážáá»á±á¬áºááŸá¯ááᯠáá±á¬ááºááŸááºážááŒááºážááŸáá·áº áá¬ááœááºáá±ážá áá Ạáá¯ááºááŒááºááŒááºážá áá¬ááºá¡ááœá¬ážá¡áᬠá¡áá»áá¯ážá¡á á¬áž á¡áá»áá¯ážáá»áá¯ážááᯠá á áºáá±ážááẠáááºážáááºážááᯠáá¶á·ááá¯ážáá±ážáááºá Suricata ááœá²á·á ááºážááŸá¯áá¯á¶á á¶áá»á¬ážááœáẠáááºážááᯠá¡áá¯á¶ážááŒá¯ááœáá·áºááŸááááºá Snort ááá±á¬áá»ááºá¡ááŒáẠá ááºážáá»ááºážá¡á á¯á¶á¡áááºááŒáá·áº áá®ááœááºáá²á·áááºá О . ááá±á¬áá»ááºá¡áááºážá¡ááŒá áºáá¯áẠGPLv2 á¡á±á¬ááºááœáẠááá¯ááºá ááºááá¬ážáááºá
á¡áááááŒá±á¬ááºážáá²ááŸá¯áá»á¬áž-
- HTTP/2 á¡ááœáẠáááŠážáá¶á·ááá¯ážááŸá¯á
- áááá¯ááá¯áá±á¬ááᯠáááºááŸááºáááºááŸáá·áº ááŸááºáááºážááᯠááááºážááááºážááá¯ááºááŸá¯á¡áá«á¡ááẠRFB ááŸáá·áº MQTT áááá¯ááá¯áá±á¬áá»á¬ážá¡ááœáẠáá¶á·ááá¯ážááŸá¯á
- DCERPC áááá¯ááá¯áá±á¬á¡ááœáẠáá±á¬á·ááºáá¯ááºááẠááŒá áºááá¯ááºááŒá±á
- JSON áá±á¬áºáááºááœáẠá¡ááŒá áºá¡áá»ááºá¡ááœááºááᯠáá¶á·ááá¯ážáá±ážááá·áº EVE á áá áºááœá²ááŸáá áºááá·áº ááŸááºáááºážáá¯ááºáá±á¬ááºááŸá¯ááœáẠáááá¬áááºááŸá¬ážá áœá¬ ááá¯ážáááºááŸá¯á Rust áá¬áá¬á áá¬ážááŒáá·áº áá±ážáá¬ážáá¬ážáá±á¬ JSON á áá±á¬á·ááºáááºáá±á¬ááºáá°á¡áá áºááᯠá¡áá¯á¶ážááŒá¯ááŒááºážááŒá±á¬áá·áº á¡ááŸáááºá¡áá¯ááºááᯠáááŸááá²á·áááºá
- EVE ááŸááºáááºážá áá áºá áá»á²á·ááœááºááá¯ááºá áœááºážááᯠááá¯ážááŒáá·áºáá¬áá²á·ááŒá®áž thread áá áºáá¯á á®á¡ááœáẠáá®ážááŒá¬ážááŸááºáááºážááá¯ááºááᯠááááºážááááºážááá¯ááºá áœááºážááᯠá¡áá±á¬ááºá¡áááºáá±á¬áºáá²á·áááºá
- ááŸááºáááºážááá¯á· á¡áá»ááºá¡áááºááŒááºáááºáááºááŸááºááŒááºážá¡ááœáẠá¡ááŒá±á¡áá±áá»á¬ážááᯠáááºááŸááºááá¯ááºááŸá¯á
- EVE ááŸááºáááºážááœáẠMAC ááááºá á¬áá»á¬ážááᯠáááºáááºá á±ááŒá®áž DNS ááŸááºáááºážá á¡áá±ážá áááºá¡áá»ááºá¡áááºáá»á¬ážááᯠááá¯ážááŒáŸáá·áºááá¯ááºááŒá±á
- Flow Engine á á áœááºážáá±á¬ááºáááºááᯠááŒáŸáá·áºáááºáá±ážááŒááºážá
- SSH á¡áá±á¬ááºá¡áááºáá±á¬áºááŸá¯áá»á¬ážááᯠáá±á¬áºáá¯ááºááẠáá¶á·ááá¯ážááŸá¯ ().
- GENEVE á¥áááºááá¯ááºáá±á«ááºáž áá¯ááºáá«ááᯠá¡áá±á¬ááºá¡áááºáá±á¬áºááŒááºážá
- áá¯ááºáá±á¬ááºáááºá¡ááœáẠáá¯ááºááᯠRust áá¬áá¬á áá¬ážááŒáá·áº ááŒááºáááºáá±ážáá¬ážáá¬ážáááºá , DCERPC ááŸáá·áº SSH á Rust ááẠáááá¯ááá¯áá±á¬á¡áá áºáá»á¬ážááᯠáá¶á·ááá¯ážáá±ážáááºá
- á ááºážáááºážáááºááŸááºáá»ááºáá¬áá¬á áá¬ážááœááºá from_end ááá·áºáááºáá±á¬ááºá¡ááœáẠáá¶á·ááá¯ážááŸá¯á¡á¬áž byte_jump áá±á¬á·áá»ááºá áá¬ážáá¯á¶ážááá¯á· áá±á«ááºážááá·áºáá²á·ááŒá®ážá bitmask ááá·áºáááºáá±á¬ááºá¡ááœáẠáá¶á·ááá¯ážááŸá¯ááᯠbyte_test ááœáẠááá·áºááœááºážáá²á·áááºá á á¬áááºážááœá²áá áºáá¯ááá¯áááºážáá°ááẠáá¯á¶ááŸááºá¡áá¯á¶ážá¡ááŸá¯ááºážáá»á¬áž (pcre) ááá¯á¡áá¯á¶ážááŒá¯ááẠpcrexform áá±á¬á·áá»ááºá áá¬ážáá¯á¶ážááᯠá¡áá±á¬ááºá¡áááºáá±á¬áºáá²á·áááºá urldecode ááŒá±á¬ááºážáá²ááŒááºážááᯠááá·áºááœááºážáá¬ážáááºá byte_math áá±á¬á·áá»ááºá á¬áá¯á¶ážááᯠááá·áºáá¬ážáááºá
- Rust ááŸáá·áº C áá¬áá¬á áá¬ážáá»á¬ážááŒáá·áº bindings áá»á¬ážáá¯ááºáá¯ááºááẠcbindgen ááᯠá¡áá¯á¶ážááŒá¯ááẠá áœááºážáááºááᯠáá±ážáááºá
- áááŠáž ááááºá¡áẠáá¶á·ááá¯ážááŸá¯ ááá·áºáá¬ážáááºá
Suricata áá¡ááºá¹áá«áááºáá»á¬áž
- á¡áááºááŒá¯áá»ááºááááºáá»á¬ážááá¯ááŒáááẠáá áºá á¯áá áºá ááºážáááºážáá±á¬áºáááºááᯠá¡áá¯á¶ážááŒá¯ááŒááºážá Snort ááá±á¬áá»ááºááŸáááºáž á¡áá¯á¶ážááŒá¯áá¬ážááŒá®ážá áá²á·ááá¯á·áá±á¬ á á¶ááœá²ááŒááºážá áááºááŒá¬ááŸá¯áááááá¬áá»á¬ážááᯠá¡áá¯á¶ážááŒá¯ááœáá·áºáá±ážáááºá . BASEá Snorbyá Sguil ááŸáá·áº SQueRT áá¯ááºáá¯ááºáá»á¬ážááŸáá·áº áá±á«ááºážá ááºááá¯ááºááŸá¯á PCAP áá±á¬áºáááºááŒáá·áº ááœááºááŸáááŸá¯á¡ááœáẠáá¶á·ááá¯ážááŸá¯á
- áááá¯ááá¯áá±á¬áá»á¬áž á¡ááá¯á¡áá»á±á¬áẠáá±á¬ááºááŸááºážááŒááºáž (IPá TCPá UDPá ICMPá HTTPá TLSá FTPá SMB á áááºááŒáá·áº) ááẠááá·áºá¡á¬áž ááá¯á·ááºáá¶áá«ááºááᯠáááºááœáŸááºážááŒááºážáááŸááá² á ááºážáá»ááºážáá»á¬ážááœááºáᬠáá¯ááºáá±á¬ááºááẠááœáá·áºááŒá¯ááá·áº áááá¯ááá¯áá±á¬á¡áá»áá¯ážá¡á á¬áž (á¥ááá¬á á á¶ááá¯ááºáá±á¬ port áá áºáá¯áá±á«áºááœáẠHTTP á¡ááœá¬ážá¡áá¬ááá¯ááááºááá¯á·áááºá HTTPá SSLá TLSá SMBá SMB2á DCERPCá SMTPá FTP ááŸáá·áº SSH áááá¯ááá¯áá±á¬áá»á¬ážá¡ááœáẠáá¯ááºáá¶áá«ááºáá»á¬áž
- HTTP á¡ááœá¬ážá¡áá¬ááᯠááœá²ááŒááºážá
áááºááŒá¬ááŒá®áž áá¯á¶ááŸááºááŒá
áºá
á±ááẠMod_Security ááá±á¬áá»ááºáá±ážáá¬ážáá°á០áááºáá®ážáá¬ážááá·áº á¡áá°áž HTP á
á¬ááŒáá·áºááá¯ááºááᯠá¡áá¯á¶ážááŒá¯ááá·áº á¡á¬ážáá±á¬ááºážááá·áº HTTP á¡ááœá¬ážá¡áᬠááœá²ááŒááºážá
áááºááŒá¬ááŸá¯á
áá
áºá á¡áá°ážá¡ááŒá±á¬ááºáž HTTP ááœáŸá²ááŒá±á¬ááºážááŸá¯áá»á¬ážá á¡áá±ážá
áááºááŸááºáááºážááᯠááááºážááááºážáááºá¡ááœáẠáá±á¬áºáá»á°ážáá
áºáá¯áááá¯ááºááŒá®ážá ááŸááºáááºážááᯠá
á¶áá±á¬áºáááºááŒáá·áº ááááºážáááºážáá¬ážáááºá
Apacheá HTTP áááá¯ááá¯áá±á¬ááŸáá áºááá·áº ááœáŸá²ááŒá±á¬ááºážáá¬ážáá±á¬ ááá¯ááºáá»á¬ážááᯠáá¯ááºáá°ááŒááºážááŸáá·áº á¡áááºááŒá¯ááŒááºážááá¯á·ááᯠáá¶á·ááá¯ážáá¬ážáááºá áá»á¯á¶á·áá¬ážáá±á¬ á¡ááŒá±á¬ááºážá¡áá¬ááᯠááœá²ááŒááºážá áááºááŒá¬ááẠáá¶á·ááá¯ážááŸá¯á URIá Cookieá áá±á«ááºážá á®ážáá»á¬ážá á¡áá¯á¶ážááŒá¯áá°-á¡á±ážáá»áá·áºá áá±á¬ááºážááá¯áá»ááº/áá¯á¶á·ááŒááºááŸá¯ááá¯ááºáááºá¡á¬ážááŒáá·áº ááœá²ááŒá¬ážáááºááŸááºááá¯ááºááŸá¯á - NFQueueá IPFRingá LibPcapá IPFWá AF_PACKETá PF_RING á¡áá«á¡ááẠá¡ááœá¬ážá¡áá¬ááᯠááŒá¬ážááŒááºááŒá¬ážááŒááºááẠá¡áá»áá¯ážáá»áá¯ážáá±á¬ á¡ááºáá¬áá±á·á áºáá»á¬ážá¡ááœáẠáá¶á·ááá¯ážááŸá¯á ááááºážáááºážááŒá®ážáá¬ážááá¯ááºáá»á¬ážááᯠPCAP áá±á¬áºáááºááŒáá·áº ááœá²ááŒááºážá áááºááŒá¬ááá¯ááºáááº;
- ááŒáá·áºáá¬ážáá±á¬á áœááºážáá±á¬ááºáááºá ááá¬ážááá¯ážáá»á ááºáá á¹á ááºážáá»á¬ážááœáẠ10 gigabits/sec á¡áá stream áá»á¬ážááá¯áá¯ááºáá±á¬ááºááá¯ááºá áœááºážááŸááááºá
- IP ááááºá á¬á¡á á¯á¶á¡áááºááŒáá·áº á áœááºážáá±á¬ááºáááºááŒáá·áºáá»ááºááŸá¬áá¯á¶ážááŸáá·áº ááá¯ááºáá®áá±á¬á¡ááºáá»ááºá áá»ááºááŸá¬áá¯á¶ážááŸáá·áº áá¯á¶ááŸááºá¡áá¯á¶ážá¡ááŸá¯ááºážáá»á¬ážááŒáá·áº á¡ááŒá±á¬ááºážá¡áá¬ááœá±ážáá»ááºááŸá¯á¡ááœáẠáá¶á·ááá¯ážááŸá¯á á¡áááºá á¡áá»áá¯ážá¡á á¬áž ááá¯á·ááá¯áẠMD5 checksum á¡áá«á¡ááẠáááºážááá¯á·á ááœá²ááŒá¬ážáááºááŸááºááŒááºáž á¡áá«á¡ááẠá¡ááœá¬ážá¡áá¬á០ááá¯ááºáá»á¬ážááᯠááá¯ááºážááŒá¬ážááŒááºážá
- á ááºážáá»ááºážáá»á¬ážááœáẠááááºážááŸááºáá»á¬ážááᯠáá¯á¶ážááá¯ááºáááº- áááºááẠáá¯ááºááœáŸáá·áºááŸá¯á០á¡áá»ááºá¡áááºáá»á¬ážááᯠááááºážáááºážááá¯ááºááŒá®áž áá±á¬ááºááá¯ááºážááœáẠáááºážááᯠá¡ááŒá¬ážá ááºážáá»ááºážáá»á¬ážááœáẠá¡áá¯á¶ážááŒá¯ááá¯ááºáááºá
- á ááºáá¯ááºáá±á¬ááºáá¬ááœáẠááœááºáá°á áœá¬ááŒáá·áº ááŒááºááá¯ááºá áœááºážááᯠááááºážááááºážáá¬ážááá¯ááºá á±ááá·áº ááœá²á·á ááºážááŸá¯ááá¯ááºáá»á¬ážááœáẠYAML áá±á¬áºáááºááᯠá¡áá¯á¶ážááŒá¯ááŒááºážá
- á¡ááŒáá·áºá¡á IPv6 áá¶á·ááá¯ážááŸá¯;
- packets áá»á¬ážáá±á¬ááºááŸáááá·áºá¡á á®á¡á á¥áºááá¯áááºááá¯á·áááºááŒá áºá á± streams áá»á¬ážáááŸááºáááºáá±á¬áá¯ááºáá±á¬ááºááŸá¯ááá¯áá±áá»á¬á á±áááºá¡ááœááºá¡ááá¯á¡áá»á±á¬áẠdefragmentation ááŸáá·áº packets áá»á¬ážááŒááºáááºá á¯á ááºážááŸá¯á¡ááœáẠbuilt-in á¡ááºáá»ááºá
- á¥áááºááŸáá¯ááºáá±á«ááºáž áááá¯ááá¯áá±á¬áá»á¬ážá¡ááœáẠáá¶á·ááá¯ážááŸá¯- Teredoá IP-IPá IP6-IP4á IP4-IP6á GRE;
- áááºáá±á·áá»áºá áá¬ážááŸááºááᯠáá¶á·ááá¯ážááŸá¯- IPv4á IPv6á TCPá UDPá SCTPá ICMPv4á ICMPv6á GREá Ethernetá PPPá PPPoEá Rawá SLLá VLAN;
- TLS/SSL áá»áááºáááºááŸá¯áá»á¬ážá¡ááœááºáž áá±á«áºáá¬ááá·áº áá±á¬á·ááŸáá·áº áááºááŸááºáá»á¬ážá¡ááœáẠááŸááºáááºážáá¯ááºá
- á¡ááá·áºááŒáá·áº ááœá²ááŒááºážá áááºááŒá¬ááŸá¯ááᯠáá±ážáá±á¬ááºáááºááŸáá·áº á á¶á ááºážáá»ááºážáá»á¬áž ááá¯á¶áá±á¬ááºááá·áº áá¬ááºá¡ááœá¬ážá¡áᬠá¡áá»áá¯ážá¡á á¬ážáá»á¬ážááᯠááœá²ááŒá¬ážáááºááŸááºááẠááá¯á¡ááºáá±á¬ áááºáá±á¬ááºážá¡ááºá¹áá«áááºáá»á¬ážááᯠá¡áá±á¬ááºá¡áááºáá±á¬áºááẠLua script áá»á¬ážááᯠáá±ážáá¬ážááá¯ááºááŸá¯á
source: opennet.ru