Bol vydaný nový release systému analýzy prevádzky a detekcie sieťových útokov Zeek 8.0.0, predtým známeho ako Bro. Zeek je platforma na analýzu prevádzky, zameraná predovšetkým na sledovanie udalostí súvisiacich s bezpečnosťou, no nie je obmedzená len na túto aplikáciu. Kód systému je napísaný v jazyku C++ a je distribuovaný pod licenciou BSD.
Platforma poskytuje moduly na analýzu a rozbor rôznych sieťových protokolov na úrovni aplikácií, zohľadňujúc stav pripojení a umožňujúca vytvárať podrobný záznam (archív) sieťovej aktivity. Je ponúkaný špecifický jazyk na písanie skriptov monitorovania a detekcie anomálií s dôrazom na špecifiká konkrétnych infraštruktúr. Systém je optimalizovaný pre použitie v sieťach s vysokou priepustnosťou. Poskytuje API pre integráciu s externými informačnými systémami a výmenu údajov v reálnom čase.
V novom vydaní Zeek:
- Bola pridaná možnosť nastavovania identifikátorov sieťového toku (Flow Tuple) prostredníctvom pluginov. Na vylúčenie kolízií pri rozdeľovaní tokov v zložitých sieťach, okrem IP adresy, čísel portov a protokolu, teraz možno zohľadniť aj dodatočný kontext, ako sú VLAN tagy alebo identifikátory enkapsulovaného trafiku pre VXLAN a Geneve.
- Nový cluster backend založený na ZeroMQ bol pripravený na použitie v produkčných systémoch, určujúci metódu interakcie medzi uzlami klastra a formát serializácie údajov. Predvolene sa naďalej používa backend Broker, ale v budúcnosti je plánovaný prechod na backend ZeroMQ ako predvolený, ktorý umožňuje obísť proxy pri šírení širokopásmových správ medzi uzlami. Zber telemetrie o činnosti klastra bol zjednodušený, čo umožňuje sledovať zaťaženie uzlov, nezávisle od použitého backendu.
- Bol pridaný parser pre protokol databázového systému Redis a bola zabezpečená evidencia zachytených operácií.
- V analyzátore SMTP bola implementovaná podpora extrakcie z trafiku e-mailových správ (RFC 822) a ich odovzdania do analyzátora súborov, čo môže byť použité na uloženie zachytených e-mailov na disku vo forme súborov vo formáte .eml.
- Do analyzátora FTP bola pridaná podpora pre rozšírenie AUTH TLS.
- V DNS analyzátore bola implementovaná detekcia záznamov NAPTR.
- Do PPPoE analyzátora bola pridaná možnosť výstupu identifikátorov relácií.
- Namiesto samostatných logov analyzer.log a dpd.log bol použitý spoločný log analyzer.log.
- Generátor parserov pre analýzu protokolov a súborov bol aktualizovaný na verziu Spicy 1.14, ktorá prináša nové optimalizácie a zabezpečuje odstránenie nepoužívaných parametrov funkcií.
- Bola poskytnutá možnosť zmeny formátu vedenia logov pomocou balíka logschema (napríklad je možné použiť JSON alebo CSV namiesto tradičných textových logov).
- Na zostavenie projektu je teraz potrebný kompilátor s podporou štandardu C++20. Ako minimalne podporované verzie sú uvedené GCC 10, Clang 8 a Visual Studio 2022.
Je možné tiež spomenúť vydanie skenera sieťovej bezpečnosti Nmap 7.98, ktorý je určený na vykonávanie auditu siete a identifikáciu aktívnych sieťových služieb. Kód projektu je dodávaný pod licenciou NPSL (Nmap Public Source License), založenou na GPLv2, ktorá obsahuje odporúčania (nie požiadavky) na použitie programu OEM licencovania a nákupu komerčnej licencie, ak výrobca nechce sprístupniť kód svojho produktu podľa požiadaviek kopylift licencie alebo plánuje integrovať Nmap do produktov, ktoré nie sú kompatibilné s GPL.
Vo verzii Nmap 7.98 sa hlavne nachádzajú opravy chýb. Napríklad, bolo odstránené nečakané ukončenie pri používaní nmap s niektorými VPN-rozhraniami. Z funkčných zmien sa vyznačuje pridanie NSE obalov na použitie funkcií libssh2 vo skriptoch automatizácie činností s Nmap. Bola optimalizovaná práca rezolvéra DNS. Do knižnice tls.lua bola pridaná podpora šifier používaných v TLSv1.3, vrátane postkvantových súborov šifier. Boli aktualizované verzie OpenSSL 3.0.17, Lua 5.4.8 a Npcap 1.83, ktoré sú zahrnuté v hotových zostavách.
Zdroj: opennet.ru
