De organisatie OISF (Open Information Security Foundation) de release van een systeem voor het detecteren en voorkomen van netwerkindringingen , dat middelen biedt voor inspectie van verschillende soorten verkeer. In de configuraties van Suricata is het toegestaan om , ontwikkeld door het Snort-project, evenals regelsets van en . De broncode van het project onder GPLv2-licentie.
Belangrijkste wijzigingen:
- Er zijn nieuwe modules voor analyse en logging voor de protocollen
RDP, SNMP en SIP, geschreven in de programmeertaal Rust. De module voor FTP-analyse heeft de mogelijkheid toegevoegd om logs vast te leggen via het EVE-systeem, dat gebeurtenissen in JSON-indeling uitvoert; - Naast de in de vorige release toegevoegde ondersteuning voor de TLS-clientidentificatiemethode JA3, is ondersteuning voor de methode , toegevoegd, waarmee op basis van connectieonderhandelingen en opgegeven parameters kan worden bepaald welke software wordt gebruikt voor het tot stand brengen van de verbinding (bijvoorbeeld het identificeren van het gebruik van Tor en andere typische toepassingen). JA3 maakt het mogelijk om clients te identificeren, terwijl JA3S servers identificeert. De identificatieresultaten kunnen worden gebruikt in de regeltoepassingssyntax en in logbestanden;
- Er is een experimentele mogelijkheid toegevoegd om overeenkomsten te maken met steekproeven uit grote datasets, gerealiseerd door middel van nieuwe operaties . Dit is bijvoorbeeld toepasbaar voor het zoeken naar masks in grote zwarte lijsten met miljoenen records;
- In de inspectiemodus voor HTTP is volledige dekking gegarandeerd voor alle situaties die in de testset zijn beschreven (bijvoorbeeld, het dekt methoden die worden gebruikt om kwaadaardige activiteiten in het verkeer te verbergen);
- De ontwikkeltools voor modules in Rust zijn van opties omgezet in verplichte native functionaliteiten. In de toekomst is verdere toepassing van Rust in de codebasis van het project gepland, evenals geleidelijke vervanging van modules door vergelijkbare, ontwikkelde in Rust;
- De protocoldetectiemotor is verbeterd op het gebied van nauwkeurigheid en verwerking van asynchrone verkeersstromen;
- In het EVE-log is ondersteuning toegevoegd voor een nieuw type record āanomalyā, waarin ongewone gebeurtenissen worden vastgelegd die worden ontdekt bij het decoderen van pakketten. In EVE is ook informatie over VLAN en verkeerscapture-interfaces uitgebreid. Een optie is toegevoegd om alle HTTP-headers op te slaan in HTTP-records van het EVE-log;
- In de op eBPF gebaseerde handlers is ondersteuning voor hardwarematige versnelling van pakketcapture toegevoegd. Hardwareversnelling is momenteel beperkt tot Netronome-netwerkadapters, maar zal binnenkort ook beschikbaar zijn voor andere hardware;
- De code is herschreven om verkeer vast te leggen met behulp van het Netmap-framework. De mogelijkheid is toegevoegd om gebruik te maken van geavanceerde functies van Netmap, zoals een virtuele switch. ;
- ondersteuning voor een nieuw schema voor het definiƫren van sleutelwoorden voor "Sticky Buffers". Het nieuwe schema is gedefinieerd in het formaat "protocol.buffer", bijvoorbeeld voor het inspecteren van URI's neemt het sleutelwoord de vorm "http.uri" aan in plaats van "http_uri";
- Alle gebruikte Python-code is gecontroleerd op compatibiliteit met
Python 3; - De ondersteuning voor de Tilera-architectuur, het tekstlog dns.log en het oude log files-json.log is beƫindigd.
Kenmerken van Suricata:
- Gebruik van een uniforme opmaak voor het weergeven van resultaten van verificaties , ook gebruikt door het Snort-project, wat het mogelijk maakt om standaardtools voor analyse te gebruiken zoals . Mogelijkheid tot integratie met producten zoals BASE, Snorby, Sguil en SQueRT. Ondersteuning voor uitvoer in PCAP-formaat;
- Ondersteuning voor automatische protocoldetectie (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB, enz.), waardoor regels alleen op het type protocol kunnen worden toegepast, zonder binding aan het poortnummer (bijvoorbeeld het blokkeren van HTTP-verkeer op een niet-standaard poort). Beschikbaarheid van decoders voor de protocollen HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP en SSH;
- Krachtig systeem voor HTTP-verkeeranalyse dat een speciale bibliotheek HTP gebruikt voor het parseren en normaliseren van HTTP-verkeer, ontwikkeld door de auteur van het Mod_Security-project. Een module beschikbaar voor het bijhouden van gedetailleerde logs van transit HTTP-overdrachten, de log wordt opgeslagen in een standaardformaat.
Apache. Ondersteuning voor het extraheren en controleren van bestanden die via het HTTP-protocol worden verzonden. Ondersteuning voor het parseren van gecomprimeerde content. Mogelijkheid tot identificatie via URI, Cookie, headers, user-agent, en de body van verzoeken/responsen; - Ondersteuning voor verschillende interfaces voor het onderscheppen van verkeer, waaronder NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Analyse van al opgeslagen bestanden in PCAP-indeling is mogelijk;
- Hoge prestaties, in staat om streams tot 10 gigabit/s te verwerken op standaard hardware.
- Hogeprestatiedetectiemechanisme met maskers voor grote IP-adressenets. Ondersteuning voor het extraheren van content op basis van maskers en reguliere expressies. Extraheren van bestanden uit verkeer, inclusief identificatie op naam, type of MD5-hash.
- Mogelijkheid om variabelen te gebruiken in regels: informatie uit de stream kan worden opgeslagen en later in andere regels worden gebruikt;
- Gebruik van YAML-formaat in configuratiebestanden, wat de duidelijkheid behoudt bij eenvoudige machineverwerking;
- Volledige ondersteuning voor IPv6;
- Ingebouwde engine voor automatische defragmentatie en hersamenstelling van pakketten, die zorgt voor een correcte verwerking van streams, ongeacht de volgorde van ontvangst van pakketten;
- Ondersteuning voor tunnelingprotocollen: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
- Ondersteuning voor het decoderen van pakketten: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
- Loggingmodus voor sleutels en certificaten die betrokken zijn bij TLS/SSL-verbindingen;
- Mogelijkheid om scripts te schrijven in Lua voor geavanceerde analyses en het implementeren van extra functionaliteiten die nodig zijn voor het identificeren van verkeerssoorten waarvoor de standaardregels niet voldoende zijn.
Bron: opennet.ru
