Zeven jaar na de oprichting van de vorige belangrijke tak de release van het systeem voor verkeersanalyse en detectie van netwerkinbraken , voorheen bekend onder de naam Bro. Dit is de eerste belangrijke release na , uitgevoerd omdat de naam Bro geassocieerd werd met een gelijknamige marginaal subcultuur, en niet zoals door de auteurs bedoeld als een verwijzing naar 'de grote broer' uit George Orwell's roman '1984'. De code van het systeem is geschreven in C++ en onder de BSD-licentie.
Zeek is een platform voor verkeersanalyse, gericht op het volgen van gebeurtenissen met betrekking tot beveiliging, maar niet beperkt tot dit gebruik. Modules worden aangeboden voor de analyse en decodering van verschillende applicatieniveau netwerkprotocollen, rekening houdend met de status van verbindingen en het mogelijk maken van gedetailleerde logboeken (archieven) van netwerkactiviteit. Een domeinspecifieke taal wordt aangeboden voor het schrijven van monitoring- en anomaliedetectiescripts, rekening houdend met de specifieke kenmerken van bepaalde infrastructuren. Het systeem is geoptimaliseerd voor gebruik in netwerken met hoge doorvoersnelheid. Een API wordt aangeboden voor integratie met externe informatiesystemen en gegevensuitwisseling in realtime.
In :
- De analyse-engine voor het NTP-protocol is volledig herschreven en een nieuwe analyse-engine voor MQTT is toegevoegd. De mogelijkheden van de analyzers voor DNS, RDP, SMB en TLS zijn uitgebreid. Voor DNS is ondersteuning toegevoegd voor het parseren van SPF-records, en voor DNSSEC ā RRSIG, DNSKEY, DS, NSEC en NSEC3 met de bijbehorende gebeurtenissen. De SMB-analyzer heeft ondersteuning gekregen voor het SMB 3.x-protocol, en voor TLS is ondersteuning voor TLS 1.3 toegevoegd;
- Ondersteuning voor het deĆÆnkapseren van streams binnen VXLAN-tunnels is geĆÆmplementeerd;
- Ondersteuning voor NFLOG-verbindingen is toegevoegd;
- De mogelijkheid om inloggen van geƫxtraheerde gegevens in UTF8-indeling op te slaan is toegevoegd;
- De scripts taal heeft ondersteuning gekregen voor closures voor anonieme functies, de operator voor het itereren door tabellen in sleutel-waarde formaat (āfor ( key, value in t )ā) is toegevoegd, en er zijn operaties voor het splitsen van vectors in Python-stijl (āv[2:4]ā) geĆÆmplementeerd, samen met een nieuwe paraglob-structuur voor snelle overeenkomsten van stringmaskers in grote sets binaire gegevens.
- Alle vermeldingen van de naam "bro" in bestandslocaties, instellingen, pakketten, scripts, namespaces en functies zijn vervangen door "zeek" (ondersteuning voor oude namen is behouden voor de achterwaartse compatibiliteit). De pakketmanager bro-pkg is hernoemd naar zkg.
Bron: opennet.ru
