Foi lançado o novo release da versão estável do analisador de rede Wireshark 4.4. O programa suporta mais de mil protocolos de rede e várias dezenas de formatos de captura de tráfego. Oferece uma interface flexível para a criação de filtros, captura de tráfego, análise de dumps salvos e inspeção de pacotes. Recursos avançados são suportados, como a reordenação da sequência dos pacotes, extração e salvamento do conteúdo de arquivos transmitidos por diferentes protocolos, reprodução de streams VoIP e RTP, e decodificação de IPsec, ISAKMP, Kerberos, SNMPv3, SSL/TLS, WEP e WPA/WPA2. O código do projeto é distribuído sob a licença GPLv2.
Principais novidades do Wireshark 4.4.0:
- Suporte adicionado para troca automática de perfis com configurações. O usuário pode vincular um filtro de exibição a um perfil e, ao abrir um arquivo com tráfego capturado que se enquadre no filtro, o perfil relacionado será automaticamente ativado.
- Suporte adicionado para Lua 5.3 e 5.4. Suporte para Lua 5.1 e 5.2 foi descontinuado.
- Nos filtros de exibição, o suporte a valores string foi melhorado (agora é possível representação string de campos numéricos).
- Agora é possível definir funções de filtro como plugins, assim como os parsers de arquivos e os módulos de protocolo.
- Operação "Editar > Copiar > Filtro de exibição como filtro pcap" adicionada para converter filtros de exibição em filtros pcap com campos equivalentes.
- Vários diálogos gráficos aprimorados, gráficos de I/O, fluxos de tráfego, chamadas VoIP e fluxos TCP modernizados.
- É permitido definir colunas personalizadas, que podem ser formadas usando quaisquer operações nos campos (funções de filtro, cálculos aritméticos, operações lógicas, modificadores de protocolos, etc.).
- É permitido definir campos de saída personalizados para "tshark -e", utilizando operações nos campos existentes.
- Suporte adicionado para compilar usando a biblioteca zlib-ng em vez de zlib para trabalhar com arquivos comprimidos.
- Foi adicionada a suporte aos protocolos e formatos:
- Allied Telesis Resiliency Link (AT RL),
- ATN Security Label,
- Bit Index Explicit Replication (BIER),
- Bus Mirroring Protocol,
- EGNOS Message Server (EMS),
- Galileo E1-B I/NAV,
- IBM i RDMA Endpoint (iRDMA-EDP),
- IWBEMSERVICES, MAC NR Framed (mac-nr-framed),
- Matter Bluetooth Transport Protocol (MatterBTP),
- MiWi P2P Star,
- Monero,
- NMEA 0183,
- PLDM,
- RDP authentication redirection virtual channel protocol (rdpear),
- RF4CE Network Layer (RF4CE),
- RF4CE Profile (RF4CE Profile),
- RK512, SAP Remote Function Call (SAPRFC),
- Mensagem de Navegação SBAS L1,
- Scanner Access Now Easy (SANE),
- TREL,
- WMIO,
- Protocolo de Transporte de Mensagens ZeroMQ (ZMTP).
- Vulnerabilidade corrigida (CVE-2024-8250) que pode levar a um encerramento inesperado ao processar pacotes especialmente formatados.
Adicionalmente, destaca-se o lançamento do sistema de análise de tráfego e detecção de intrusões de rede Zeek 7.0.0, anteriormente conhecido como Bro. Zeek é uma plataforma de análise de tráfego, voltada principalmente ao rastreamento de eventos relacionados à segurança, mas não se limitando a essa aplicação. A plataforma Zeek oferece módulos para análise e interpretação de diversos protocolos de rede de nível de aplicação, considerando o estado das conexões e permitindo a elaboração de um registro detalhado (arquivo) da atividade da rede. Um idioma orientado ao domínio é fornecido para a escrita de scripts de monitoramento e detecção de anomalias, levando em consideração as especificidades de infraestruturas concretas. O sistema é otimizado para uso em redes de alta capacidade. Uma API está disponível para integração com sistemas de informação de terceiros e troca de dados em tempo real. O código do sistema é escrito em C++ e distribuído sob licença BSD.
Na nova versão do Zeek:
- O framework Telemetry utilizado para coletar e exportar estatísticas (por exemplo, o número de conexões abertas e a intensidade das requisições) foi remodelado. Em vez de agregar métricas nos nós finais e enviá-las a um nó de controle separado, a nova versão utiliza um mecanismo de descoberta de serviços baseado no Prometheus para coletar métricas dos nós.
- O gerador de parsers para análise de protocolos e arquivos foi atualizado para a versão Spicy 1.11, na qual a representação do código na memória foi alterada, a confiabilidade do funcionamento foi aumentada, o tratamento da perda de pacotes foi melhorado, o suporte a campos de bits foi ampliado e o desempenho foi acelerado (para alguns protocolos, o ganho de desempenho chega a 30%).
- Suporte adicionado ao motor de otimização de scripts ZAM (Zeek Abstract Machine), que aumenta o desempenho dos scripts Zeek por meio da compilação de nós da árvore sintática em uma forma de baixo nível executável mais eficiente.
- Novos analisadores de protocolos QUIC e LDAP foram propostos, construídos usando o gerador de parsers Spicy.
- O tratamento correto do encaminhamento para versões mais recentes do protocolo HTTP foi garantido.
- A análise de WebSocket foi aprimorada.
- Adicionada suporte para gravação em log assíncrona.
Fonte: opennet.ru
