Attackdetekteringssystemet Suricata 8.0 är tillgängligt

Efter två års utveckling publicerade organisationen OISF (Open Information Security Foundation) version 8.0 av systemet för detektion och förebyggande av nätverksintrång, Suricata, som erbjuder verktyg för inspektion av olika typer av trafik. I Suricata-konfigurationer är det möjligt att använda signaturdatabasen som utvecklas av projektet Snort, samt uppsättningar av regler från Emerging Threats och Emerging Threats Pro. Källkoden för projektet distribueras under GPLv2-licensen.

Huvudsakliga förändringar:

• En experimentell funktion har lagts till för att använda Suricata som en brandvägg. Brandväggsläget möjliggör användning av en dialekt av inspektionsregelspråket för att filtrera nätverkspaket.
• Möjligheten att skriva skript i Lua-språket har omarbetats. En Lua 5.4-tolk har integrerats i kodbasen och körs i en sandbox-miljö som begränsar reglerna i Lua (till exempel kan ingen skrivning till filer göras eller nätverks-sockets skapas från regler).
• Funktionen för dynamisk registrering av plugins med protokollparserare, detektorer och komponenter för loggning har tillhandahållits.
• Betydande prestandaoptimeringar har genomförts, vilket har möjliggjort accelerationen av olika aspekter av motorns arbete, inklusive protokollidentifiering, regelladdning och initialisering. Accelerationen uppnås genom att förutsäga övergångar, optimera hash-funktioner, öka storleken på buffrar för dataladdning i PCAP-format samt omarbeta trådsynkronisering. Det har också gått att förkorta starttiden för Suricata genom att använda caching, utökad portgruppering och en förbättrad algoritm för IP-adressersättning.
• LibHTP-, FTP-, ENIP-hanterare samt koden för MIME-typparsing, byte_extract-operationer och base64-avkodning har skrivits om i Rust.
• Stöd för protokollen DoH (DNS över HTTPS), LDAP, mDNS (Multicast DNS) och Websocket har lagts till.
• Nya moduler för dekodering och loggning av protokollen ARP och POP3 har lagts till.
• Trafikparsing av SDP över SIP och SIP över TCP har säkerställts.
• Möjligheterna för protokollidentifiering och regelbyggande har utvidgats. För regler har nyckelord implementerats: LDAP, MIME/EMAIL, vlan.id, DNS, SMTP, FTP, TLS, tcp.wscale, pgsql.query, from_base64, entropy, luaxform och mDNS. Transaktionella regler har lagts till för att beskriva båda riktningar av transaktionen i en regel.

Funktioner i Suricata:

• • Användning av Unified2-formatet för att presentera resultat av kontroller, vilket också används av Snort-projektet, vilket möjliggör användning av standardverktyg för analys, såsom barnyard2. Möjlighet till integration med produkterna BASE, Snorby, Sguil och SQueRT. Stöd för output i PCAP-format;
  • Stöd för automatisk protokollidentifiering (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB etc.), vilket möjliggör användning av endast protokolltyp i regler utan koppling till portnummer (till exempel blockera HTTP-trafik på en icke-standardport). Decoders för protokoll HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP, LDAP och SSH;
  • System för analys av HTTP-trafik som använder HTP-biblioteket för att analysera och normalisera HTTP-trafik, skapat av författaren av Mod_Security-projektet. En modul finns tillgänglig för att hålla en detaljerad logg över transit HTTP-omdirigeringar (loggen sparas i standard Apache-format). Stöd för extrahering och verifiering av filer som överförs via HTTP-protokollet samt analys av komprimerat innehåll. Möjlighet till identifiering via URI, cookie, rubriker, user-agent, begärans-/svarsdel;
  • Stöd för olika gränssnitt för trafikfångst, inklusive NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Analys av redan sparade filer i PCAP-format är möjlig;
  • Hög prestanda, kapacitet att bearbeta strömmar på tiotals gigabit per sekund på vanlig utrustning.
  • Högpresterande maskmatchningsmotor med stora uppsättningar IP-adresser. Stöd för innehållsanalys baserat på mask och reguljära uttryck. Extrahera filer från trafiken, inklusive identifiering baserat på namn, typ eller hash.
  • Möjlighet att använda variabler i regler: information från strömmen kan sparas och senare användas i andra regler;
  • Användning av YAML-format i konfigurationsfiler som kombinerar tydlighet med enkel maskinbehandling;
  • Fullständigt stöd IPv6;
  • Inbyggd motor för automatisk defragmentering och ombyggnad av paket, vilket säkerställer korrekt bearbetning av flöden oavsett paketens ankomstordning;
  • Stöd för tunneleringsprotokoll: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
  • Stöd för dekodning av paket: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, ARP, PPPoE, Raw, SLL, VLAN;
  • Loggläge för nycklar och certifikat som förekommer i TLS-baserade anslutningar;
  • Möjlighet att skriva skript på Lua för avancerad trafikanalys och implementering av ytterligare funktioner som standardregler inte räcker till för.

Källa: opennet.ru