Utgivelse av Suricata 6.0 inntrengningsdeteksjonssystem

После года разработки организация OISF (Open Information Security Foundation) опубликовала utgivelse av system for oppdagelse og forebygging av nettverksinntrenging Surikat 6.0, som gir et middel til å inspisere ulike typer trafikk. I Suricata-konfigurasjoner er det tillatt å bruke signaturbaser, utviklet av Snort-prosjektet, samt regelsett Fremvoksende trusler и Emerging Threats Pro. Prosjektets kildekode spre lisensiert under GPLv2.

Hovedendringer:

• Начальная поддержка HTTP/2.
• Поддержка протоколов RFB и MQTT, включая возможность определения протокола и ведения лога.
• Возможность ведения лога для протокола DCERPC.
• Значительное повышение производительности ведения лога через подсистему EVE, обеспечивающую вывод событий в формате JSON. Ускорение достигнуто благодаря задействованию нового построитель сток JSON, написанного на языке Rust.
• Повышена масштабируемость системы логов EVE и реализована возможность ведения отельного лог-файла на каждый поток.
• Возможность определения условий для сброса сведений в лог.
• Возможность отражения MAC-адресов в логе EVE и повышение детализации лога DNS.
• Повышение производительности движка обработки потоков (flow engine).
• Поддержка идентификации реализаций SSH (HASSJ).
• Реализация декодировщика туннелей GENEVE.
• На языке Rust переписан код для обработки ASN.1, DCERPC и SSH. На Rust также реализована поддержка новых протоколов.
• В языке определения правил в ключевом слове byte_jump добавлена поддержка параметра from_end, а в byte_test — параметра bitmask. Реализовано ключевое слово pcrexform, позволяющее использовать регулярные выражения (pcre) для захвата подстроки. Добавлено преобразование urldecode. Добавлено ключевое слово byte_math.
• Предоставления возможность использования cbindgen для генерации привязок на языках Rust и C.
• Добавлена начальная поддержка плагинов.

Funksjoner av Suricata:

• Bruke et enhetlig format for å vise valideringsresultater enhetlig 2, også brukt av Snort-prosjektet, som tillater bruk av standard analyseverktøy som f.eks låvetun 2. Evne til å integrere med BASE, Snorby, Sguil og SQueRT produkter. Støtte for utdata i PCAP-format;
• Støtte for automatisk gjenkjenning av protokoller (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB, etc.), som lar deg operere i reglene kun etter protokolltypen, uten referanse til portnummeret (for eksempel , for å blokkere HTTP-trafikk på en ikke-standard port) . Dekodere for HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP og SSH-protokoller;
• Et kraftig HTTP-trafikkanalysesystem som bruker et spesielt HTP-bibliotek opprettet av forfatteren av Mod_Security-prosjektet for å analysere og normalisere HTTP-trafikk. En modul er tilgjengelig for å opprettholde en detaljert logg over transitt-HTTP-overføringer, loggen lagres i et standardformat
  Apache. Utvinning og verifisering av filer overført via HTTP-protokoll støttes. Støtte for å analysere komprimert innhold. Evne til å identifisere ved URI, informasjonskapsel, overskrifter, brukeragent, forespørsel/svar-legeme;

• Støtte for ulike grensesnitt for å avskjære trafikk, inkludert NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Det er mulig å analysere allerede lagrede filer i PCAP-format;
• Høy ytelse, evnen til å behandle strømmer opp til 10 gigabit/sek på konvensjonelt utstyr.
• Høyytelses maskematchende motor med store sett med IP-adresser. Støtte for innholdsvalg etter maske og regulære uttrykk. Separasjon av filer fra trafikk, inkludert deres identifikasjon ved navn, type eller MD5-sjekksum.
• Evne til å bruke variabler i regler: du kan lagre informasjon fra strømmen og senere bruke den i andre regler;
• Bruk av YAML-formatet i konfigurasjonsfiler, som lar deg opprettholde synlighet med enkel maskinbehandling;
• Full IPv6-støtte;
• Innebygd motor for automatisk defragmentering og remontering av pakker, som gjør det mulig å sikre korrekt behandling av strømmer, uavhengig av rekkefølgen pakkene ankommer i;
• Støtte for tunnelprotokoller: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
• Pakkedekodingsstøtte: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
• Loggmodus for nøkler og sertifikater som vises i TLS/SSL-tilkoblinger;
• Evnen til å skrive Lua-skript for å gi avansert analyse og implementere tilleggsfunksjoner som trengs for å identifisere trafikktyper som standardregler ikke er nok for.

Kilde: opennet.ru