Após sete anos desde a formação da antiga e significativa ramificação do lançamento do sistema de análise de tráfego e detecção de intrusões na rede , anteriormente distribuído sob o nome de Bro. Esta é a primeira versão significativa após , realizada porque o nome Bro estava associado a uma subcultura marginal homônima, e não como uma alusão pretendida pelos autores ao "grande irmão" do romance '1984' de George Orwell. O código do sistema é escrito em C++ e sob a licença BSD.
Zeek é uma plataforma de análise de tráfego, projetada principalmente para monitorar eventos relacionados à segurança, mas que não se limita a essa aplicação. Módulos para análise e decodificação de vários protocolos de rede de nível de aplicativo são disponibilizados, considerando o estado das conexões e permitindo a formação de um registro detalhado (arquivo) da atividade da rede. Uma linguagem específica do domínio é oferecida para escrever scripts de monitoramento e detecção de anomalias, levando em conta as especificidades de infraestruturas específicas. O sistema é otimizado para uso em redes de alta capacidade. Uma API é fornecida para integração com sistemas de informação de terceiros e troca de dados em tempo real.
Em :
- O analisador para o protocolo NTP foi completamente reescrito e um novo analisador para MQTT foi adicionado. As capacidades dos analisadores para DNS, RDP, SMB e TLS foram ampliadas. Para DNS, a decodificação de registros SPF foi garantida, e para DNSSEC - RRSIG, DNSKEY, DS, NSEC e NSEC3, além da identificação de eventos relacionados. O analisador SMB agora suporta o protocolo SMB 3.x, e para TLS, o suporte ao TLS 1.3 foi implementado;
- O suporte à desconsolidação de fluxos transmitidos dentro de túneis VXLAN foi implementado;
- O suporte a links do tipo NFLOG foi adicionado;
- A possibilidade de salvar no log os dados extraídos em codificação UTF8 foi adicionada;
- O suporte a closures para funções anônimas foi adicionado à linguagem de scripts, o operador de iteração sobre tabelas no formato chave-valor foi introduzido ('for ( key, value in t )'), operações de fatiamento de vetores no estilo Python ('v[2:4]') foram implementadas, e uma nova estrutura paraglob para rápida correspondência de máscaras de strings em grandes conjuntos de dados binários foi proposta;
- Todas as menções ao nome "bro" em caminhos de arquivos, configurações, pacotes, scripts, namespaces e funções foram substituídas por "zeek" (a compatibilidade com os nomes antigos foi mantida para garantir a retrocompatibilidade). O gerenciador de pacotes bro-pkg foi renomeado para zkg.
Fonte: opennet.ru
