Suricata 5.0 ਅਟੈਕ ਡਿਟੈਕਸ਼ਨ ਸਿਸਟਮ ਉਪਲਬਧ ਹੈ

ਸੰਗਠਨ OISF (ਓਪਨ ਇਨਫਰਮੇਸ਼ਨ ਸਕਿਓਰਿਟੀ ਫਾਊਂਡੇਸ਼ਨ) ਪ੍ਰਕਾਸ਼ਤ ਨੈੱਟਵਰਕ ਘੁਸਪੈਠ ਖੋਜ ਅਤੇ ਰੋਕਥਾਮ ਸਿਸਟਮ ਦੀ ਰਿਹਾਈ ਮੀਰਕੈਟ 5.0., ਜੋ ਕਿ ਵੱਖ-ਵੱਖ ਕਿਸਮਾਂ ਦੇ ਟ੍ਰੈਫਿਕ ਦੀ ਜਾਂਚ ਕਰਨ ਦਾ ਸਾਧਨ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। Suricata ਸੰਰਚਨਾ ਵਿੱਚ, ਇਸ ਨੂੰ ਵਰਤਣ ਦੀ ਇਜਾਜ਼ਤ ਹੈ ਦਸਤਖਤ ਦੇ ਅਧਾਰ, Snort ਪ੍ਰੋਜੈਕਟ ਦੁਆਰਾ ਵਿਕਸਤ ਕੀਤਾ ਗਿਆ ਹੈ, ਨਾਲ ਹੀ ਨਿਯਮਾਂ ਦੇ ਸੈੱਟ ਉੱਭਰਦੀਆਂ ਧਮਕੀਆਂ и ਉਭਰਦੇ ਖਤਰੇ ਪ੍ਰੋ. ਪ੍ਰੋਜੈਕਟ ਸਰੋਤ ਕੋਡ ਫੈਲਣਾ GPLv2 ਅਧੀਨ ਲਾਇਸੰਸਸ਼ੁਦਾ।

ਮੁੱਖ ਬਦਲਾਅ:

• ਪ੍ਰੋਟੋਕੋਲ ਲਈ ਨਵੇਂ ਪਾਰਸਿੰਗ ਅਤੇ ਲੌਗਿੰਗ ਮੋਡੀਊਲ ਪੇਸ਼ ਕੀਤੇ ਗਏ ਹਨ
  RDP, SNMP ਅਤੇ SIP ਜੰਗਾਲ ਵਿੱਚ ਲਿਖਿਆ ਗਿਆ ਹੈ. EVE ਸਬਸਿਸਟਮ ਦੁਆਰਾ ਲੌਗ ਕਰਨ ਦੀ ਯੋਗਤਾ, ਜੋ JSON ਫਾਰਮੈਟ ਵਿੱਚ ਘਟਨਾਵਾਂ ਦਾ ਆਉਟਪੁੱਟ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ, ਨੂੰ FTP ਪਾਰਸਿੰਗ ਮੋਡੀਊਲ ਵਿੱਚ ਜੋੜਿਆ ਗਿਆ ਹੈ;

• ਪਿਛਲੀ ਰੀਲੀਜ਼ ਵਿੱਚ ਪੇਸ਼ ਕੀਤੀ JA3 TLS ਕਲਾਇੰਟ ਪ੍ਰਮਾਣਿਕਤਾ ਵਿਧੀ ਲਈ ਸਮਰਥਨ ਤੋਂ ਇਲਾਵਾ, ਵਿਧੀ ਲਈ ਸਮਰਥਨ JA3S, ਇਜਾਜ਼ਤ ਦੇ ਰਿਹਾ ਹੈ ਕੁਨੈਕਸ਼ਨ ਗੱਲਬਾਤ ਦੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਅਤੇ ਨਿਰਧਾਰਤ ਮਾਪਦੰਡਾਂ ਦੇ ਆਧਾਰ 'ਤੇ, ਇਹ ਨਿਰਧਾਰਤ ਕਰੋ ਕਿ ਕੁਨੈਕਸ਼ਨ ਸਥਾਪਤ ਕਰਨ ਲਈ ਕਿਹੜਾ ਸੌਫਟਵੇਅਰ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ (ਉਦਾਹਰਨ ਲਈ, ਇਹ ਤੁਹਾਨੂੰ ਟੋਰ ਅਤੇ ਹੋਰ ਆਮ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਵਰਤੋਂ ਨੂੰ ਨਿਰਧਾਰਤ ਕਰਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ)। JA3 ਗਾਹਕਾਂ, ਅਤੇ JA3S - ਸਰਵਰਾਂ ਨੂੰ ਪਰਿਭਾਸ਼ਿਤ ਕਰਨਾ ਸੰਭਵ ਬਣਾਉਂਦਾ ਹੈ। ਨਿਰਧਾਰਨ ਦੇ ਨਤੀਜੇ ਨਿਯਮ ਸੈਟਿੰਗ ਭਾਸ਼ਾ ਅਤੇ ਲੌਗਸ ਵਿੱਚ ਵਰਤੇ ਜਾ ਸਕਦੇ ਹਨ;
• ਨਵੇਂ ਓਪਰੇਸ਼ਨਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਲਾਗੂ ਕੀਤੇ ਗਏ ਵੱਡੇ ਡੇਟਾਸੈਟਾਂ ਦੇ ਨਮੂਨੇ ਨਾਲ ਮੇਲ ਕਰਨ ਦੀ ਪ੍ਰਯੋਗਾਤਮਕ ਯੋਗਤਾ ਨੂੰ ਜੋੜਿਆ ਗਿਆ ਡੇਟਾਸੈਟ ਅਤੇ ਡੇਟਾਰੇਪ. ਉਦਾਹਰਨ ਲਈ, ਵਿਸ਼ੇਸ਼ਤਾ ਲੱਖਾਂ ਐਂਟਰੀਆਂ ਦੇ ਨਾਲ ਵੱਡੀਆਂ ਬਲੈਕਲਿਸਟਾਂ ਵਿੱਚ ਮਾਸਕ ਦੀ ਖੋਜ ਕਰਨ ਲਈ ਲਾਗੂ ਹੁੰਦੀ ਹੈ;
• HTTP ਨਿਰੀਖਣ ਮੋਡ ਟੈਸਟ ਸੂਟ ਵਿੱਚ ਵਰਣਿਤ ਸਾਰੀਆਂ ਸਥਿਤੀਆਂ ਦੀ ਪੂਰੀ ਕਵਰੇਜ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ HTTP Evader (ਉਦਾਹਰਨ ਲਈ, ਟ੍ਰੈਫਿਕ ਵਿੱਚ ਖਤਰਨਾਕ ਗਤੀਵਿਧੀ ਨੂੰ ਲੁਕਾਉਣ ਲਈ ਵਰਤੇ ਜਾਂਦੇ ਤਰੀਕਿਆਂ ਨੂੰ ਸ਼ਾਮਲ ਕਰਦਾ ਹੈ);
• ਜੰਗਾਲ ਮੋਡੀਊਲ ਡਿਵੈਲਪਮੈਂਟ ਟੂਲਸ ਨੂੰ ਵਿਕਲਪਾਂ ਤੋਂ ਲੋੜੀਂਦੀਆਂ ਮਿਆਰੀ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਵਿੱਚ ਤਬਦੀਲ ਕੀਤਾ ਗਿਆ ਹੈ। ਭਵਿੱਖ ਵਿੱਚ, ਪ੍ਰੋਜੈਕਟ ਦੇ ਕੋਡ ਬੇਸ ਵਿੱਚ ਜੰਗਾਲ ਦੀ ਵਰਤੋਂ ਨੂੰ ਵਧਾਉਣ ਦੀ ਯੋਜਨਾ ਹੈ ਅਤੇ ਹੌਲੀ-ਹੌਲੀ ਜੰਗਾਲ ਵਿੱਚ ਵਿਕਸਤ ਐਨਾਲਾਗ ਨਾਲ ਮੋਡੀਊਲ ਨੂੰ ਬਦਲਣ ਦੀ ਯੋਜਨਾ ਹੈ;
• ਪ੍ਰੋਟੋਕੋਲ ਖੋਜ ਇੰਜਣ ਨੂੰ ਅਸਿੰਕਰੋਨਸ ਟ੍ਰੈਫਿਕ ਪ੍ਰਵਾਹ ਦੀ ਸ਼ੁੱਧਤਾ ਅਤੇ ਪ੍ਰਬੰਧਨ ਦੇ ਰੂਪ ਵਿੱਚ ਸੁਧਾਰਿਆ ਗਿਆ ਹੈ;
• ਇੱਕ ਨਵੀਂ ਰਿਕਾਰਡ ਕਿਸਮ, "ਅਨੋਮਾਲੀ" ਲਈ EVE ਲੌਗ ਵਿੱਚ ਸਮਰਥਨ ਜੋੜਿਆ ਗਿਆ ਹੈ, ਜੋ ਅਟੈਪੀਕਲ ਘਟਨਾਵਾਂ ਨੂੰ ਸਟੋਰ ਕਰਦਾ ਹੈ ਜੋ ਪੈਕਟਾਂ ਨੂੰ ਡੀਕੋਡ ਕੀਤੇ ਜਾਣ 'ਤੇ ਖੋਜੀਆਂ ਜਾਂਦੀਆਂ ਹਨ। EVE ਨੇ VLAN ਅਤੇ ਟ੍ਰੈਫਿਕ ਕੈਪਚਰ ਇੰਟਰਫੇਸ ਬਾਰੇ ਜਾਣਕਾਰੀ ਦੇ ਪ੍ਰਦਰਸ਼ਨ ਦਾ ਵੀ ਵਿਸਤਾਰ ਕੀਤਾ। EVE ਲੌਗ http ਐਂਟਰੀਆਂ ਵਿੱਚ ਸਾਰੇ HTTP ਸਿਰਲੇਖਾਂ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ ਲਈ ਵਿਕਲਪ ਸ਼ਾਮਲ ਕੀਤਾ ਗਿਆ;
• eBPF-ਅਧਾਰਿਤ ਹੈਂਡਲਰ ਪੈਕੇਟ ਕੈਪਚਰ ਨੂੰ ਤੇਜ਼ ਕਰਨ ਲਈ ਹਾਰਡਵੇਅਰ ਵਿਧੀਆਂ ਦਾ ਸਮਰਥਨ ਕਰਦੇ ਹਨ। ਹਾਰਡਵੇਅਰ ਪ੍ਰਵੇਗ ਵਰਤਮਾਨ ਵਿੱਚ ਨੈਟਰੋਨੋਮ ਨੈਟਵਰਕ ਅਡੈਪਟਰਾਂ ਤੱਕ ਸੀਮਿਤ ਹੈ, ਪਰ ਜਲਦੀ ਹੀ ਹੋਰ ਉਪਕਰਣਾਂ ਲਈ ਦਿਖਾਈ ਦੇਵੇਗਾ;
• ਨੈੱਟਮੈਪ ਫਰੇਮਵਰਕ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ ਟ੍ਰੈਫਿਕ ਨੂੰ ਕੈਪਚਰ ਕਰਨ ਲਈ ਦੁਬਾਰਾ ਲਿਖਿਆ ਕੋਡ। ਐਡਵਾਂਸਡ ਨੈੱਟਮੈਪ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਜਿਵੇਂ ਕਿ ਵਰਚੁਅਲ ਸਵਿੱਚ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਯੋਗਤਾ ਸ਼ਾਮਲ ਕੀਤੀ ਗਈ Vale;
• ਜੋੜਿਆ ਗਿਆ ਸਟਿੱਕੀ ਬਫਰਾਂ ਲਈ ਇੱਕ ਨਵੀਂ ਕੀਵਰਡ ਪਰਿਭਾਸ਼ਾ ਸਕੀਮ ਲਈ ਸਮਰਥਨ। ਨਵੀਂ ਸਕੀਮ ਨੂੰ protocol.buffer ਫਾਰਮੈਟ ਵਿੱਚ ਪਰਿਭਾਸ਼ਿਤ ਕੀਤਾ ਗਿਆ ਹੈ, ਉਦਾਹਰਨ ਲਈ, ਇੱਕ URI ਦੀ ਜਾਂਚ ਕਰਨ ਲਈ, ਕੀਵਰਡ "http_uri" ਦੀ ਬਜਾਏ "http.uri" ਹੋਵੇਗਾ;
• ਵਰਤੇ ਗਏ ਸਾਰੇ ਪਾਈਥਨ ਕੋਡ ਦੀ ਅਨੁਕੂਲਤਾ ਲਈ ਜਾਂਚ ਕੀਤੀ ਜਾਂਦੀ ਹੈ
  Python3;

• ਟਿਲੇਰਾ ਆਰਕੀਟੈਕਚਰ, dns.log ਟੈਕਸਟ ਲੌਗ, ਅਤੇ ਪੁਰਾਣੀ ਫਾਈਲਾਂ-json.log ਲੌਗ ਲਈ ਸਮਰਥਨ ਬੰਦ ਕਰ ਦਿੱਤਾ ਗਿਆ ਹੈ।

Suricata ਦੀਆਂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ:

• ਪ੍ਰਮਾਣਿਕਤਾ ਨਤੀਜੇ ਪ੍ਰਦਰਸ਼ਿਤ ਕਰਨ ਲਈ ਇੱਕ ਯੂਨੀਫਾਈਡ ਫਾਰਮੈਟ ਦੀ ਵਰਤੋਂ ਕਰਨਾ unified2, Snort ਪ੍ਰੋਜੈਕਟ ਦੁਆਰਾ ਵੀ ਵਰਤਿਆ ਜਾਂਦਾ ਹੈ, ਜਿਵੇਂ ਕਿ ਮਿਆਰੀ ਵਿਸ਼ਲੇਸ਼ਣ ਸਾਧਨਾਂ ਦੀ ਵਰਤੋਂ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ barnyard2. BASE, Snorby, Sguil ਅਤੇ SQueRT ਉਤਪਾਦਾਂ ਨਾਲ ਏਕੀਕ੍ਰਿਤ ਕਰਨ ਦੀ ਸਮਰੱਥਾ। PCAP ਫਾਰਮੈਟ ਵਿੱਚ ਆਉਟਪੁੱਟ ਲਈ ਸਮਰਥਨ;
• ਪ੍ਰੋਟੋਕੋਲ (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB, ਆਦਿ) ਦੀ ਆਟੋਮੈਟਿਕ ਖੋਜ ਲਈ ਸਮਰਥਨ, ਜੋ ਤੁਹਾਨੂੰ ਪੋਰਟ ਨੰਬਰ (ਲਈ ਉਦਾਹਰਨ ਲਈ, ਇੱਕ ਗੈਰ-ਮਿਆਰੀ ਪੋਰਟ 'ਤੇ HTTP ਟ੍ਰੈਫਿਕ ਨੂੰ ਰੋਕਣ ਲਈ)। HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP ਅਤੇ SSH ਪ੍ਰੋਟੋਕੋਲ ਲਈ ਡੀਕੋਡਰ;
• ਇੱਕ ਸ਼ਕਤੀਸ਼ਾਲੀ HTTP ਟ੍ਰੈਫਿਕ ਵਿਸ਼ਲੇਸ਼ਣ ਪ੍ਰਣਾਲੀ ਜੋ HTTP ਟ੍ਰੈਫਿਕ ਨੂੰ ਪਾਰਸ ਅਤੇ ਸਧਾਰਣ ਕਰਨ ਲਈ Mod_Security ਪ੍ਰੋਜੈਕਟ ਦੇ ਲੇਖਕ ਦੁਆਰਾ ਬਣਾਈ ਗਈ ਇੱਕ ਵਿਸ਼ੇਸ਼ HTP ਲਾਇਬ੍ਰੇਰੀ ਦੀ ਵਰਤੋਂ ਕਰਦੀ ਹੈ। ਟ੍ਰਾਂਜਿਟ HTTP ਟ੍ਰਾਂਸਫਰ ਦੇ ਵਿਸਤ੍ਰਿਤ ਲੌਗ ਨੂੰ ਕਾਇਮ ਰੱਖਣ ਲਈ ਇੱਕ ਮੋਡੀਊਲ ਉਪਲਬਧ ਹੈ, ਲੌਗ ਨੂੰ ਇੱਕ ਮਿਆਰੀ ਫਾਰਮੈਟ ਵਿੱਚ ਸੁਰੱਖਿਅਤ ਕੀਤਾ ਜਾਂਦਾ ਹੈ
  ਅਪਾਚੇ। HTTP ਪ੍ਰੋਟੋਕੋਲ ਦੁਆਰਾ ਟ੍ਰਾਂਸਫਰ ਕੀਤੀਆਂ ਫਾਈਲਾਂ ਦੀ ਐਕਸਟਰੈਕਸ਼ਨ ਅਤੇ ਪੁਸ਼ਟੀਕਰਨ ਸਮਰਥਿਤ ਹੈ। ਸੰਕੁਚਿਤ ਸਮੱਗਰੀ ਨੂੰ ਪਾਰਸ ਕਰਨ ਲਈ ਸਮਰਥਨ। URI, ਕੂਕੀ, ਸਿਰਲੇਖ, ਉਪਭੋਗਤਾ-ਏਜੰਟ, ਬੇਨਤੀ/ਜਵਾਬ ਬਾਡੀ ਦੁਆਰਾ ਪਛਾਣ ਕਰਨ ਦੀ ਸਮਰੱਥਾ;

• NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING ਸਮੇਤ ਟ੍ਰੈਫਿਕ ਨੂੰ ਰੋਕਣ ਲਈ ਵੱਖ-ਵੱਖ ਇੰਟਰਫੇਸਾਂ ਲਈ ਸਮਰਥਨ। ਪੀਸੀਏਪੀ ਫਾਰਮੈਟ ਵਿੱਚ ਪਹਿਲਾਂ ਹੀ ਸੁਰੱਖਿਅਤ ਕੀਤੀਆਂ ਫਾਈਲਾਂ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਨਾ ਸੰਭਵ ਹੈ;
• ਉੱਚ ਪ੍ਰਦਰਸ਼ਨ, ਰਵਾਇਤੀ ਉਪਕਰਣਾਂ 'ਤੇ 10 ਗੀਗਾਬਿਟਸ / ਸਕਿੰਟ ਤੱਕ ਸਟ੍ਰੀਮ ਦੀ ਪ੍ਰਕਿਰਿਆ ਕਰਨ ਦੀ ਸਮਰੱਥਾ.
• IP ਪਤਿਆਂ ਦੇ ਵੱਡੇ ਸੈੱਟਾਂ ਦੇ ਨਾਲ ਉੱਚ ਪ੍ਰਦਰਸ਼ਨ ਮਾਸਕ ਮੈਚਿੰਗ ਇੰਜਣ। ਮਾਸਕ ਅਤੇ ਨਿਯਮਤ ਸਮੀਕਰਨ ਦੁਆਰਾ ਸਮੱਗਰੀ ਦੀ ਚੋਣ ਲਈ ਸਮਰਥਨ. ਟ੍ਰੈਫਿਕ ਤੋਂ ਫਾਈਲਾਂ ਨੂੰ ਵੱਖ ਕਰਨਾ, ਨਾਮ, ਕਿਸਮ ਜਾਂ MD5 ਚੈੱਕਸਮ ਦੁਆਰਾ ਉਹਨਾਂ ਦੀ ਪਛਾਣ ਸਮੇਤ।
• ਨਿਯਮਾਂ ਵਿੱਚ ਵੇਰੀਏਬਲ ਦੀ ਵਰਤੋਂ ਕਰਨ ਦੀ ਸਮਰੱਥਾ: ਤੁਸੀਂ ਸਟ੍ਰੀਮ ਤੋਂ ਜਾਣਕਾਰੀ ਬਚਾ ਸਕਦੇ ਹੋ ਅਤੇ ਬਾਅਦ ਵਿੱਚ ਇਸਨੂੰ ਹੋਰ ਨਿਯਮਾਂ ਵਿੱਚ ਵਰਤ ਸਕਦੇ ਹੋ;
• ਸੰਰਚਨਾ ਫਾਈਲਾਂ ਵਿੱਚ YAML ਫਾਰਮੈਟ ਦੀ ਵਰਤੋਂ ਕਰਨਾ, ਜੋ ਤੁਹਾਨੂੰ ਮਸ਼ੀਨ ਪ੍ਰੋਸੈਸਿੰਗ ਵਿੱਚ ਆਸਾਨੀ ਨਾਲ ਦਿੱਖ ਨੂੰ ਬਣਾਈ ਰੱਖਣ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ;
• ਪੂਰਾ IPv6 ਸਮਰਥਨ;
• ਆਟੋਮੈਟਿਕ ਡੀਫ੍ਰੈਗਮੈਂਟੇਸ਼ਨ ਅਤੇ ਪੈਕੇਟਾਂ ਨੂੰ ਦੁਬਾਰਾ ਜੋੜਨ ਲਈ ਬਿਲਟ-ਇਨ ਇੰਜਣ, ਜੋ ਸਟ੍ਰੀਮਾਂ ਦੀ ਸਹੀ ਪ੍ਰਕਿਰਿਆ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣ ਦੀ ਆਗਿਆ ਦਿੰਦਾ ਹੈ, ਪੈਕਟਾਂ ਦੇ ਆਉਣ ਵਾਲੇ ਕ੍ਰਮ ਦੀ ਪਰਵਾਹ ਕੀਤੇ ਬਿਨਾਂ;
• ਟਨਲਿੰਗ ਪ੍ਰੋਟੋਕੋਲ ਲਈ ਸਮਰਥਨ: ਟੇਰੇਡੋ, IP-IP, IP6-IP4, IP4-IP6, GRE;
• ਪੈਕੇਟ ਡੀਕੋਡਿੰਗ ਸਹਾਇਤਾ: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, ਈਥਰਨੈੱਟ, PPP, PPPoE, Raw, SLL, VLAN;
• ਕੁੰਜੀਆਂ ਅਤੇ ਸਰਟੀਫਿਕੇਟਾਂ ਲਈ ਲੌਗਿੰਗ ਮੋਡ ਜੋ TLS/SSL ਕੁਨੈਕਸ਼ਨਾਂ ਦੇ ਅੰਦਰ ਦਿਖਾਈ ਦਿੰਦੇ ਹਨ;
• ਤਕਨੀਕੀ ਵਿਸ਼ਲੇਸ਼ਣ ਪ੍ਰਦਾਨ ਕਰਨ ਅਤੇ ਟ੍ਰੈਫਿਕ ਕਿਸਮਾਂ ਦੀ ਪਛਾਣ ਕਰਨ ਲਈ ਲੋੜੀਂਦੀਆਂ ਵਾਧੂ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਨੂੰ ਲਾਗੂ ਕਰਨ ਲਈ ਲੂਆ ਸਕ੍ਰਿਪਟਾਂ ਨੂੰ ਲਿਖਣ ਦੀ ਯੋਗਤਾ ਜਿਸ ਲਈ ਮਿਆਰੀ ਨਿਯਮ ਕਾਫ਼ੀ ਨਹੀਂ ਹਨ।

ਸਰੋਤ: opennet.ru