De release van de Zeek 8.0.0 traffic analysis en intrusion detection system, voorheen bekend als Bro, is gepubliceerd. Zeek is een platform voor traffic analysis dat voornamelijk gericht is op het volgen van events gerelateerd aan beveiliging, maar dit gebruik beperken is niet noodzakelijk. De code van het systeem is geschreven in C++ en wordt verspreid onder de BSD-licentie.
Het platform biedt modules voor de analyse en parsing van verschillende applicatieniveau netwerkprotocollen, rekening houdend met de status van verbindingen en het mogelijk maken van gedetailleerde logging (archivering) van netwerkactiviteit. Er wordt een domeinspecifieke taal aangeboden voor het schrijven van monitoring- en anomaly detection scripts, rekening houdend met de specificaties van specifieke infrastructuren. Het systeem is geoptimaliseerd voor gebruik in netwerken met hoge bandbreedte. Er is een API beschikbaar voor integratie met externe informatiesystemen en voor gegevensuitwisseling in realtime.
In de nieuwe release van Zeek:
- De mogelijkheid om flow tuple-identifiers via plugins aan te passen is toegevoegd. Om conflicten bij het splitsen van flows in complexe netwerken te voorkomen, naast IP-adressen, poortnummers en protocollen, kan nu ook extra context worden overwogen, zoals VLAN-tags of identifiers van ingekapseld verkeer voor VXLAN en Geneve.
- Een nieuwe cluster backend op basis van ZeroMQ is gereedgemaakt voor gebruik op productiesystemen, die de methode voor interactie tussen cluster nodes en het gegevensserialisatieformaat bepaalt. Standaard blijft de Broker backend gebruikt worden, maar er is een overgang naar de standaard ZeroMQ backend gepland, die het mogelijk maakt om zonder proxy broadcastberichten tussen nodes te verspreiden. Het verzamelen van telemetrie van clusteroperaties is vereenvoudigd, waardoor de belasting van nodes kan worden gevolgd, ongeacht de gebruikte backend.
- Er is een parser voor het Redis database protocol toegevoegd en het loggen van onderschepte operaties is gerealiseerd.
- In de SMTP-analyzer is ondersteuning voor het extraheren van e-mailberichten (RFC 822) uit de traffic en het doorgeven ervan aan de file analyzer geĆÆmplementeerd, wat kan worden gebruikt voor het opslaan van onderschepte e-mails op disk als .eml-bestanden.
- De FTP-analyzer heeft ondersteuning voor de AUTH TLS-extensie toegevoegd.
- De DNS-analyzer heeft de herkenning van NAPTR-records geĆÆmplementeerd.
- De PPPoE-analyzer heeft de mogelijkheid toegevoegd om sessie-identificaties weer te geven.
- In plaats van aparte logs analyzer.log en dpd.log is er Ć©Ć©n gecombineerde log analyzer.log gebruikt.
- De parsergenerator voor protocol- en bestandanalyse is bijgewerkt naar versie Spicy 1.14, waarin nieuwe optimalisaties zijn voorgesteld en het verwijderen van ongebruikte functieparameters is gegarandeerd.
- Er is de mogelijkheid gegeven om het logformaat te wijzigen met behulp van het pakket logschema (bijvoorbeeld kan JSON of CSV worden gebruikt in plaats van traditionele tekstlogs).
- Voor het bouwen van het project is nu een compiler vereist met ondersteuning voor de C++20-standaard. Als minimaal ondersteunde versies zijn GCC 10, Clang 8 en Visual Studio 2022 opgegeven.
Daarnaast kan de release van de netwerkbeveiligingsscanner Nmap 7.98 worden opgemerkt, bedoeld voor netwerk audits en het identificeren van actieve netservices. De projectcode wordt geleverd onder de NPSL (Nmap Public Source License), die is gebaseerd op de GPLv2-licentie en die aanbevelingen (geen vereisten) bevat voor het gebruik van OEM-licentievergeving en het aanschaffen van commerciƫle licenties als de fabrikant zijn productcode niet wil openbaren volgens de vereisten van de copyleft-licentie of van plan is Nmap in producten te integreren die niet compatibel zijn met GPL.
In versie Nmap 7.98 zijn voornamelijk bugfixes aanwezig. Bijvoorbeeld, crashes zijn verholpen bij het gebruik van nmap met sommige VPN-interfaces. Van de functionele wijzigingen is het toevoegen van NSE-wrappers voor het gebruik van libssh2-functies in Nmap-automatiseringsscripts het meest benadrukt. De werking van de DNS-resolver is geoptimaliseerd. In de bibliotheek tls.lua is ondersteuning toegevoegd voor encrypties die in TLSv1.3 worden gebruikt, inclusief post-quantum encrypties. Versies OpenSSL 3.0.17, Lua 5.4.8 en Npcap 1.83 zijn vernieuwd en worden gebruikt in de kant-en-klare builds.
Bron: opennet.ru
