Uitgave van netwerktools Wireshark 4.4.0 en Zeek 7.0.0

De release van de nieuwe stabiele versie van de netwerkanalyzer Wireshark 4.4 is gepubliceerd. Het programma ondersteunt meer dan duizend netwerkspecifieke protocollen en enkele tientallen formaten voor het vastleggen van verkeer. Het biedt een flexibele interface voor het maken van filters, het vastleggen van verkeer, het analyseren van opgeslagen dumps en het inspecteren van pakketten. Geavanceerde functies zoals het opnieuw samenstellen van de volgorde van pakketten, het extraheren en opslaan van inhoud van bestanden die via verschillende protocollen worden verzonden, het herproduceren van VoIP- en RTP-stromen, en het decoderen van IPsec, ISAKMP, Kerberos, SNMPv3, SSL/TLS, WEP en WPA/WPA2 worden ook ondersteund. De code van het project wordt verspreid onder de GPLv2-licentie.

Belangrijkste vernieuwingen in Wireshark 4.4.0:

• Ondersteuning voor automatische profilering met instellingen is toegevoegd. De gebruiker kan een weergavefilter aan een profiel koppelen en wanneer een bestand met vastgelegd verkeer wordt geopend dat onder het filter valt, wordt automatisch het bijbehorende profiel ingeschakeld.
• Ondersteuning voor Lua 5.3 en 5.4 is toegevoegd. Ondersteuning voor Lua 5.1 en 5.2 is stopgezet.
• De steun voor stringwaarden in weergavefilters is verbeterd (er is nu een mogelijkheid voor de stringrepresentatie van numerieke velden).
• De mogelijkheid om de filterfunctie in de vorm van plugins te definiëren, volgens de analogie van bestandsparsers en protocolparsermodules, is geboden.
• De operatie "Bewerken > Kopiëren > Weergavefilter als pcap-filter" is toegevoegd om weergavefilters om te zetten in pcap-filters met gelijkwaardige velden.
• Veel grafische dialoogvensters zijn verbeterd en grafieken voor invoer/uitvoer, verkeersstromen, VoIP-oproepen en TCP-stromen zijn gemoderniseerd.
• Het is mogelijk om eigen kolommen te definiëren, waarvan de vorming gebruik kan maken van elke bewerking op velden (filterfuncties, wiskundige berekeningen, logische bewerkingen, protocolmodificatoren, enz.).
• Definitie van eigen uitvoervelden voor "tshark -e" is toegestaan door gebruik te maken van bewerkingen op bestaande velden.
• Ondersteuning voor compilatie met de zlib-ng-bibliotheek in plaats van zlib voor het werken met gecomprimeerde bestanden is toegevoegd.
• Ondersteuning voor protocollen en formaten:
  • Allied Telesis Resiliency Link (AT RL),
  • ATN Security Label,
  • Bit Index Explicit Replication (BIER),
  • Bus Mirroring Protocol,
  • EGNOS Message Server (EMS),
  • Galileo E1-B I/NAV,
  • IBM i RDMA Endpoint (iRDMA-EDP),
  • IWBEMSERVICES, MAC NR Framed (mac-nr-framed),
  • Matter Bluetooth Transport Protocol (MatterBTP),
  • MiWi P2P Star,
  • Monero,
  • NMEA 0183,
  • PLDM,
  • RDP authenticatieredirectie virtueel kanaalprotocol (rdpear),
  • RF4CE Netwerklaag (RF4CE),
  • RF4CE Profiel (RF4CE Profiel),
  • RK512, SAP Remote Function Call (SAPRFC),
  • SBAS L1 Navigatiebericht,
  • Scanner Toegang Nu Eenvoudig (SANE),
  • TREL,
  • WMIO,
  • ZeroMQ Bericht Transport Protocol (ZMTP).
• Kwetsbaarheid verholpen (CVE-2024-8250), die leidt tot een crash bij het verwerken van speciaal opgemaakte pakketten.

Daarnaast kan de release van het verkeersanalyse- en netwerkinbraakdetectiesysteem Zeek 7.0.0 worden opgemerkt, vroeger bekend als Bro. Zeek is een platform voor verkeersanalyse, gericht op het volgen van evenementen die verband houden met beveiliging, maar beperkt zich daar niet toe. Het Zeek-platform biedt modules voor de analyse en parsing van verschillende netwerkprotocollen op applicatieniveau, rekening houdend met de status van verbindingen en het genereren van gedetailleerde logboeken (archieven) van netwerklactiviteit. Er is een domeinspecifieke taal beschikbaar voor het schrijven van scripts voor monitoring en het detecteren van anomalieën, rekening houdend met de kenmerken van specifieke infrastructuren. Het systeem is geoptimaliseerd voor gebruik in netwerken met hoge bandbreedte. Een API is beschikbaar voor integratie met externe informatiesystemen en gegevensuitwisseling in realtime. De systeemcode is geschreven in C++ en wordt verspreid onder de BSD-licentie.

In de nieuwe release van Zeek:

• Het Telemetrie-framework is herzien, dat wordt gebruikt voor het verzamelen en exporteren van statistieken (bijvoorbeeld het aantal open verbindingen en de intensiteit van verzoeken). In plaats van metrics op eindpunten te aggregeren en naar een afzonderlijke beheerknoop te sturen, is in de nieuwe versie een mechanisme voor servicedefinitie op basis van Prometheus ingezet voor het verzamelen van metrics van knooppunten.
• De parsergenerator voor het parseren van protocollen en bestanden is bijgewerkt naar versie Spicy 1.11, waarin de weergave van de code in het geheugen is aangepast, de betrouwbaarheid van de werking is verbeterd, de verwerking van pakketverlies is verbeterd, de ondersteuning voor bitvelden is uitgebreid en de prestaties zijn versneld (voor sommige protocollen kan de prestatieverbetering oplopen tot 30%).
• Ondersteuning voor de ZAM (Zeek Abstract Machine) optimalisatiescriptengine is toegevoegd, waardoor de prestaties van Zeek-scripts kunnen worden verhoogd door knooppunten van de syntaxisboom naar een efficiënter uitvoerbare laag-niveau vorm te compileren.
• Nieuwe analyzers voor de QUIC- en LDAP-protocollen zijn voorgesteld, gebouwd met de parsergenerator Spicy.
• De juiste verwerking van de doorverwijzing naar nieuwere versies van het HTTP-protocol is gewaarborgd.
• De analyse van WebSocket is verbeterd.
• Ondersteuning voor vertraagde logging is toegevoegd.

Bron: opennet.ru