Po roku vývoja organizácia OISF (Open Information Security Foundation) uvedenie systému na detekciu a prevenciu sieťových vpádov , ktorý poskytuje prostriedky na inspekciu rôznych druhov prevádzky. V konfiguráciách Suricata je možné zapojiť , vyvíjané projektom Snort, ako aj sady pravidiel a . Zdrojové kódy projektu pod licenciou GPLv2.
Hlavné zmeny:
- Začiatková podpora HTTP/2.
- Podpora protokolov RFB a MQTT, vrátane možnosti rozpoznať protokol a vedenia logu.
- Možnosť vedenia logu pre protokol DCERPC.
- Významné zvýšenie výkonu logovania prostredníctvom subsystému EVE, ktorý zabezpečuje výstup udalostí vo formáte JSON. Zrýchlenie bolo dosiahnuté vďaka použitiu nového stavebného riešenia JSON, napísaného v jazyku Rust.
- Zvýšená škálovateľnosť systému logov EVE a realizovaná možnosť vedenia jednotlivého logu pre každý tok.
- Možnosť definovania podmienok pre vyprázdnenie informácií do logu.
- Možnosť odrážať MAC adresy v logu EVE a zvýšenie detailnosti logu DNS.
- Zvýšenie výkonu enginu na spracovanie tokov (flow engine).
- Podpora identifikácie realizácií SSH ().
- Implementácia dekodéra tunelov GENEVE.
- V jazyku Rust bol prepisovaný kód na spracovanie , DCERPC a SSH. Na Rust bol taktiež realizovaný podpora nových protokolov.
- Do jazyka definovania pravidiel bol v kľúčovom slove byte_jump pridaná podpora parametra from_end a v byte_test parametra bitmask. Bola implementovaná kľúčové slovo pcrexform, ktoré umožňuje používať regulárne výrazy (pcre) na zachytenie podreťazca. Pridané prevod urldecode. Pridané kľúčové slovo byte_math.
- Poskytnutie možnosti využitia cbindgen na generovanie väzieb v jazykoch Rust a C.
- Pridaná základná podpora pre pluginy.
Vlastnosti Suricata:
- Použitie na výstup výsledkov kontroly unifikovaného formátu , ktorý je rovnako používaný projektom Snort, čo umožňuje používať štandardné nástroje na analýzu, ako sú . Možnosť integrácie s produktmi BASE, Snorby, Sguil a SQueRT. Podpora výstupu vo formáte PCAP;
- Podpora automatického rozpoznávania protokolov (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB atď.), ktorá umožňuje operovať v pravidlách iba typom protokolu bez viazania na číslo portu (napríklad blokovanie HTTP prevádzky na nestandardnom porte). Prítomnosť dekodérov pre protokoly HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP a SSH;
- Silný systém analýzy HTTP premávky, ktorý používa na rozbor a normalizáciu HTTP premávky špeciálnu knižnicu HTP vytvorenú autorom projektu Mod_Security. K dispozícii je modul na vedenie podrobného záznamu tranzitných HTTP presmerovaní, záznam sa ukladá v štandardnom formáte
Apache. Podporuje extrakciu a kontrolu súborov prenášaných prostredníctvom protokolu HTTP. Podpora analýzy komprimovaného obsahu. Možnosť identifikácie podľa URI, cookie, hlavičiek, user-agent, tela požiadavky/odpovede; - Podpora rôznych rozhraní na zachytávanie prenosu, vrátane NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Možný je aj rozbor už uložených súborov vo formáte PCAP;
- Vysoký výkon, schopnosť spracovávať na bežnom vybavení prúdy až do 10 gigabitov/s;
- Vysokovýkonný mechanizmus porovnávania podľa masky s veľkými množinami IP adries. Podpora vyčlenenia obsahu podľa masky a regulárnych výrazov. Vyčlenenie súborov z premávky, vrátane ich identifikácie podľa názvu, typu alebo kontrolnej sumy MD5.
- Možnosť používania premenných v pravidlách: je možné uložiť informácie z prúdu a neskôr ich použiť v iných pravidlách;
- Používanie formátu YAML v konfiguračných súboroch, čo umožňuje zachovať prehľadnosť pri jednoduchosti strojového spracovania;
- Úplná podpora IPv6;
- Integrovaný engin na automatickú defragmentáciu a rebuild paketov, ktorý zabezpečuje správne spracovanie prenosov, bez ohľadu na poradie prichádzajúcich paketov;
- Podpora tunelovacích protokolov: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
- Podpora dekódovania paketov: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
- Režim vedenia záznamu kľúčov a certifikátov, ktoré sa objavujú v rámci spojení TLS/SSL;
- Možnosť písania skriptov v jazyku Lua na zabezpečenie rozšírenej analýzy a implementácie dodatočných možností, potrebných na určenie druhov premávky, pre ktoré nie sú dostatočné štandardné pravidlá.
Zdroj: opennet.ru
