Depois de dois anos de desenvolvimento, a organização OISF (Open Information Security Foundation) lançou a versão 8.0 do sistema de detecção e prevenção de intrusões na rede Suricata, que oferece ferramentas para inspecionar vários tipos de tráfego. Nas configurações do Suricata, é permitido o uso de uma base de assinaturas desenvolvida pelo projeto Snort, bem como dos conjuntos de regras Emerging Threats e Emerging Threats Pro. O código-fonte do projeto é distribuído sob a licença GPLv2.
Principais mudanças:
- Adicionada uma funcionalidade experimental para usar a Suricata como um firewall. O modo de firewall permite utilizar um dialeto da linguagem de regras de inspeção de tráfego para filtrar pacotes de rede.
- Reestruturada a possibilidade de escrever scripts na linguagem Lua. A base de código agora inclui um interpretador Lua 5.4, que é executado em um ambiente sandbox que limita as regras em Lua (por exemplo, as regras não podem gravar em arquivos ou criar sockets de rede).
- Disponibilizada a possibilidade de registro dinâmico (em tempo real) de plugins com analisadores de protocolos, detectores e componentes para registro de logs.
- Realizadas otimizações significativas de desempenho, permitindo acelerar vários aspectos do funcionamento do motor, incluindo a identificação de protocolos, o carregamento de regras e a inicialização. O aumento de velocidade é alcançado através da previsão de transições, otimização de funções de hash, aumento do tamanho dos buffers de carregamento de dados no formato PCAP e reestruturação da sincronização de threads. Também foi possível reduzir o tempo de inicialização da Suricata utilizando cache, agrupamento de portas expandido e um algoritmo aprimorado de substituição de endereços IP.
- Reescritos em Rust os manipuladores LibHTP, FTP, ENIP, bem como o código para parsing de tipos MIME, operações byte_extract e decodificação base64.
- Adicionado suporte para os protocolos DoH (DNS over HTTPS), LDAP, mDNS (Multicast DNS) e Websocket.
- Novos módulos de decodificação e registro de logs foram incluídos para os protocolos ARP e POP3.
- Implementada a análise do tráfego SDP sobre SIP e SIP sobre TCP.
- Ampliadas as capacidades do motor de identificação de protocolos e construção de regras. Para as regras, foram implementadas as palavras-chave LDAP, MIME/EMAIL, vlan.id, DNS, SMTP, FTP, TLS, tcp.wscale, pgsql.query, from_base64, entropy, luaxform e mDNS. Adicionadas regras transacionais, permitindo descrever ambas as direções de uma transação em uma única regra.
Características do Suricata:
- Utilização para a saída de resultados de verificação em formato unificado Unified2, também utilizado pelo projeto Snort, o que permite o uso de ferramentas padrão para análise, como o barnyard2. Possibilidade de integração com produtos BASE, Snorby, Sguil e SQueRT. Suporte à saída em formato PCAP;
- Suporte à detecção automática de protocolos (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB, etc.), permitindo operar nas regras apenas pelo tipo de protocolo, sem a vinculação ao número da porta (por exemplo, bloquear tráfego HTTP em uma porta não padrão). Disponibilidade de decodificadores para protocolos HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP, LDAP e SSH;
- Sistema de análise de tráfego HTTP que utiliza a biblioteca HTP, desenvolvida pelo autor do projeto Mod_Security, para análise e normalização do tráfego HTTP. Disponível um módulo para manter um log detalhado de transferências HTTP transitadas (o log é salvo no formato padrão do Apache). Suporte à extração e verificação de arquivos transmitidos pelo protocolo HTTP, bem como à análise de conteúdo compactado. Capacidade de identificação por URI, Cookie, cabeçalhos, user-agent, corpo da requisição/resposta;
- Suporte a várias interfaces para captura de tráfego, incluindo NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Possibilidade de análise de arquivos já salvos no formato PCAP;
- Alta performance, capacidade de processar em hardware comum fluxos de dezenas de gigabits por segundo.
- Mecanismo de correspondência de alta performance com grandes conjuntos de endereços IP. Suporte a extração de conteúdo por máscara e expressões regulares. Extração de arquivos do tráfego, incluindo sua identificação por nome, tipo ou hash.
- Possibilidade de uso de variáveis nas regras: é possível salvar informações do fluxo e utilizá-las posteriormente em outras regras;
- Uso do formato YAML em arquivos de configuração, que combina clareza com facilidade de processamento por máquinas;
- Suporte completo IPv6;
- Engine incorporado para desfragmentação automática e reorganização de pacotes, garantindo o processamento correto dos fluxos, independentemente da ordem de chegada dos pacotes;
- Suporte a protocolos de tunelamento: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
- Suporte à decodificação de pacotes: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, ARP, PPPoE, Raw, SLL, VLAN;
- Modo de registro de chaves e certificados que aparecem em conexões baseadas em TLS;
- Possibilidade de escrever scripts na linguagem Lua para análise avançada de tráfego e implementação de funcionalidades adicionais, para as quais as regras padrão não são suficientes.
Fonte: opennet.ru
