Foi lançado o sistema de análise de tráfego e detecção de intrusões Zeek 8.0.0, anteriormente conhecido como Bro. O Zeek é uma plataforma de análise de tráfego focada principalmente no monitoramento de eventos relacionados à segurança, mas que não se limita a esse uso. O código do sistema é escrito em C++ e é distribuído sob a licença BSD.
A plataforma oferece módulos para análise e dissecação de vários protocolos de rede de nível de aplicação, considerando o estado das conexões e permitindo a formação de um registro detalhado (arquivo) da atividade de rede. É fornecida uma linguagem orientada a domínio para escrever scripts de monitoramento e detecção de anomalias, levando em conta as especificidades de infraestruturas concretas. O sistema é otimizado para uso em redes de alta capacidade. Uma API é oferecida para integração com sistemas de informação externos e troca de dados em tempo real.
Na nova versão do Zeek:
- Adicionada a possibilidade de configurar identificadores de fluxo de rede (Flow Tuple) através de plugins. Para evitar colisões ao dividir fluxos em redes complexas, além endereços IP, de números de porta e protocolos, agora é possível considerar um contexto adicional, como tags VLAN ou identificadores de tráfego encapsulado para VXLAN e Geneve.
- Preparado para uso em sistemas de produção, um novo backend de cluster baseado em ZeroMQ define o método de interação entre os nós do cluster e o formato de serialização de dados. Por padrão, o backend Broker continua sendo utilizado, mas no futuro está planejada a transição para o backend ZeroMQ por padrão, que permite evitar proxies na disseminação de mensagens em multicast. A coleta de telemetria sobre o funcionamento do cluster foi simplificada, permitindo acompanhar a carga sobre os nós, independentemente do backend utilizado.
- Adicionado um parser para o protocolo de banco de dados Redis e garantido o registro das operações interceptadas.
- No analisador SMTP, foi implementado suporte para extração de mensagens de e-mail do tráfego (RFC 822) e sua transferência para o analisador de arquivos, o que pode ser utilizado para salvar os e-mails interceptados no disco como arquivos no formato .eml.
- No analisador FTP, foi adicionada a suporte à extensão AUTH TLS.
- O analisador DNS implementou a identificação de registros NAPTR.
- No analisador PPPoE, foi adicionada a possibilidade de exibir os identificadores de sessões.
- Em vez de logs separados analyzer.log e dpd.log, agora há um log unificado chamado analyzer.log.
- O gerador de parsers para análise de protocolos e arquivos foi atualizado para a versão Spicy 1.14, que inclui novas otimizações e a remoção de parâmetros não utilizados das funções.
- Foi fornecida a opção de alterar o formato de registro, utilizando o pacote logschema (por exemplo, é possível usar JSON ou CSV em vez de logs de texto tradicionais).
- Para compilar o projeto, agora é necessário um compilador que suporte o padrão C++20. As versões mínimas suportadas são GCC 10, Clang 8 e Visual Studio 2022.
Além disso, cabe destacar o lançamento do scanner de segurança de rede Nmap 7.98, destinado à auditoria de rede e identificação de serviços de rede ativos. O código do projeto é fornecido sob a licença NPSL (Nmap Public Source License), baseada na licença GPLv2, que é complementada por recomendações (não exigências) sobre o uso do programa com licenciamento OEM e a compra de uma licença comercial, caso o fabricante não deseje abrir o código de seu produto de acordo com os requisitos da licença copyleft ou pretenda integrar o Nmap em produtos incompatíveis com a GPL.
Na versão Nmap 7.98, estão principalmente presentes correções de erros. Por exemplo, foram eliminadas falhas que ocorriam ao usar o nmap com alguns VPN-interfaces. Entre as mudanças funcionais, destaca-se a adição de bindings NSE para uso de funções libssh2 em scripts de automação de ações com Nmap. O funcionamento do resolvedor DNS foi otimizado. Adicionou-se suporte a cifras utilizadas no TLSv1.3 na biblioteca tls.lua, incluindo conjuntos de cifras pós-quânticos. As versões do OpenSSL 3.0.17, Lua 5.4.8 e Npcap 1.83, utilizadas nas compilações prontas, foram atualizadas.
Fonte: opennet.ru
