Minęło siedem lat od powstania poprzedniej znaczącej wersji wydania systemu analizy ruchu i wykrywania intruzji w sieci , wcześniej znanego jako Bro. To pierwsze znaczące wydanie po , dokonanej, ponieważ nazwa Bro kojarzyła się z tymsamym marginalnym subkulturą, a nie jako zamierzona przez autorów aluzja do „wielkiego brata” z powieści George’a Orwella „1984”. Kod systemu został napisany w języku C++ i na licencji BSD.
Zeek jest platformą do analizy ruchu, która koncentruje się przede wszystkim na monitorowaniu zdarzeń związanych z bezpieczeństwem, ale nie ogranicza się tylko do tego zastosowania. Oferowane są moduły do analizy i analizy różnych protokołów sieciowych aplikacji, uwzględniające stan połączeń i umożliwiające tworzenie szczegółowego dziennika (archiwum) aktywności sieciowej. Oferowany jest język ukierunkowany na przedmiot do pisania skryptów monitorujących i wykrywających anomalie, uwzględniający specyfikę danej infrastruktury. System jest zoptymalizowany do użytku w sieciach o dużej przepustowości. Udostępnione jest API do integracji z zewnętrznymi systemami informacyjnymi oraz wymiany danych w czasie rzeczywistym.
W :
- Całkowicie przepisałem analizator dla protokołu NTP oraz dodano nowy analizator dla MQTT. Rozszerzono możliwości analizatorów dla DNS, RDP, SMB i TLS. Dla DNS zapewniono analizę rekordów SPF, a dla DNSSEC — RRSIG, DNSKEY, DS, NSEC i NSEC3 oraz wyodrębnienie związanych z nimi zdarzeń. W analizatorze SMB dodano wsparcie dla protokołu SMB 3.x, a dla TLS wsparcie TLS 1.3;
- Zrealizowano wsparcie dla dekapsulacji strumieni przesyłanych wewnątrz tuneli VXLAN;
- Dodano wsparcie dla linków typu NFLOG;
- Dodano możliwość zapisywania w logu wyodrębnionych danych w kodowaniu UTF8;
- Do języka skryptów dodano wsparcie dla zamknięć dla funkcji anonimowych, dodano operator iteracji po tabelach w formacie klucz-wartość („for ( key, value in t )”), zaimplementowano operacje dzielenia wektorów w stylu Pythona („v[2:4]”), zaproponowano nową strukturę paraglob do szybkiego dopasowywania wzorów tekstowych w dużych zestawach danych binarnych;
- Wszystkie wzmianki nazwy „bro” w ścieżkach plików, ustawieniach, pakietach, skryptach, przestrzeniach nazw oraz funkcjach zostały zastąpione przez „zeek” (wsparcie dla starszych nazw zostało zachowane dla zapewnienia kompatybilności wstecznej). Menedżer pakietów bro-pkg został przemianowany na zkg.
Źródło: opennet.ru
