Após um ano de desenvolvimento, a organização OISF (Open Information Security Foundation) lançou um sistema de detecção e prevenção de intrusões na rede , que fornece ferramentas para inspecionar diferentes tipos de tráfego. Nas configurações do Suricata, é permitido o uso de , desenvolvidos pelo projeto Snort, assim como conjuntos de regras e . Os códigos-fonte do projeto sob a licença GPLv2.
Principais mudanças:
- Suporte inicial para HTTP/2.
- Suporte para os protocolos RFB e MQTT, incluindo a capacidade de identificar o protocolo e registrar logs.
- Capacidade de registrar logs para o protocolo DCERPC.
- Aprimoramento significativo no desempenho da geração de logs através do subsistema EVE, que fornece a saída de eventos no formato JSON. A aceleração foi alcançada graças ao uso de um novo construtor de streams JSON, escrito em Rust.
- A escalabilidade do sistema de logs EVE foi aumentada e a capacidade de gerar um arquivo de log separado para cada thread foi implementada.
- Capacidade de definir condições para a gravação de informações nos logs.
- Capacidade de refletir endereços MAC no log EVE e aumento da detalhamento do log DNS.
- Aumento da performance do mecanismo de processamento de fluxos (flow engine).
- Suporte à identificação de implementações SSH ().
- Implementação de um decodificador de túneis GENEVE.
- O código para processamento de , DCERPC e SSH foi reescrito em Rust. O suporte para novos protocolos também foi implementado em Rust.
- Na linguagem de definição de regras, a palavra-chave byte_jump ganhou suporte para o parâmetro from_end, e em byte_test — o parâmetro bitmask. Foi implementada a palavra-chave pcrexform, que permite o uso de expressões regulares (pcre) para captura de substrings. Foi adicionada a transformação urldecode. Foi acrescentada a palavra-chave byte_math.
- Possibilidade de usar cbindgen para gerar bindings nas linguagens Rust e C.
- Foi adicionada a suporte inicial para plugins.
Características do Suricata:
- Uso de um formato unificado para a saída dos resultados de verificação , também utilizado pelo projeto Snort, permitindo o uso de ferramentas padrão para análise, como . Possibilidade de integração com produtos BASE, Snorby, Sguil e SQueRT. Suporte para saída no formato PCAP;
- Suporte para a detecção automática de protocolos (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB, etc.), permitindo operar nas regras apenas pelo tipo de protocolo, sem vinculação ao número da porta (por exemplo, bloquear tráfego HTTP em uma porta não padrão). Presença de decodificadores para os protocolos HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP e SSH;
- Sistema poderoso de análise de tráfego HTTP, utilizando uma biblioteca especial HTP para o desmembramento e normalização do tráfego HTTP, criada pelo autor do projeto Mod_Security. Módulo disponível para manter um log detalhado das transmissões HTTP, que é salvo em formato padrão;
Apache. Suporte para extração e verificação de arquivos transferidos pelo protocolo HTTP. Suporte para análise de conteúdo compactado. Possibilidade de identificação por URI, Cookie, cabeçalhos, user-agent, corpo da solicitação/resposta; - Suporte a várias interfaces para captura de tráfego, incluindo NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Possibilidade de análise de arquivos já salvos no formato PCAP;
- Alta performance, capacidade de processar em hardware comum fluxos de até 10 gigabits/segundo.
- Mecanismo de correspondência de máscara de alto desempenho com grandes conjuntos de endereços IP. Suporte para a extração de conteúdo por máscara e expressões regulares. Extração de arquivos do tráfego, incluindo identificação por nome, tipo ou soma de verificação MD5.
- Possibilidade de utilizar variáveis nas regras: é possível salvar informações do fluxo e usá-las posteriormente em outras regras;
- Uso do formato YAML em arquivos de configuração, que permite manter a clareza enquanto facilita o processamento por máquinas;
- Suporte completo para IPv6;
- Engine incorporado para desfragmentação automática e reorganização de pacotes, garantindo o processamento correto dos fluxos, independentemente da ordem de chegada dos pacotes;
- Suporte a protocolos detunelamento: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
- Suporte ao decodificação de pacotes: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
- Modo de log de chaves e certificados envolvidos nas conexões TLS/SSL;
- Possibilidade de escrever scripts em Lua para proporcionar uma análise avançada e implementar funcionalidades adicionais necessárias para determinar tipos de tráfego para os quais as regras padrão não são suficientes.
Fonte: opennet.ru
