Traffic analyzer Zeek 8.0 och nätverksskanner Nmap 7.98 finns tillgängliga

Den nya versionen av trafikanalys- och nätverksintrångsdetekteringssystemet Zeek 8.0.0, tidigare känt som Bro, har publicerats. Zeek är en plattform för trafikanalys som främst inriktar sig på att spåra säkerhetsrelaterade händelser, men är inte begränsad till det. Systemets kod är skriven i C++ och distribueras under BSD-licensen.

Plattformen erbjuder moduler för analys och parsning av olika applikationsprotokoll, vilket tar hänsyn till anslutningarnas tillstånd och möjliggör skapande av detaljerade loggar (arkiv) över nätverksaktiviteter. Ett ämnesorienterat språk erbjuds för att skriva skript för övervakning och detektering av anomalier, med beaktande av specifika infrastrukturer. Systemet är optimerat för användning i nätverk med hög bandbredd. Ett API för integration med tredjeparts informationssystem och realtidsdatautbyte tillhandahålls.

I den nya versionen av Zeek:

• Möjligheten att anpassa nätverksflödesidentifierare (Flow Tuple) via plugins har lagts till. För att undvika kollisioner vid uppdelning av flöden i komplexa nätverk kan man nu, utöver IP-adresser, portnummer och protokoll, också ta hänsyn till ytterligare kontext, såsom VLAN-taggar eller identifierare för inkapslad trafik för VXLAN och Geneve.
• En ny klusterbackend baserad på ZeroMQ har färdigställts för användning i produktionssystem som definierar metoden för interaktion mellan klusterknutar och formatet för dat serialisering. Som standard används fortfarande backend Broker, men det är planerat att byta till ZeroMQ-backend som standard i framtiden, vilket möjliggör kommunikation utan proxy vid distribution av sändningar mellan noder. Insamlingen av telemetri om klusterarbetet har också förenklats, så att belastningen på noder kan övervakas oavsett vilken backend som används.
• En parser för databashanteringssystemet Redis har lagts till, vilket möjliggör loggning av avlyssnade operationer.
• I SMTP-analysatorn har stöd för extrahering av e-postmeddelanden (RFC 822) från trafiken och deras överföring till filanalysatorn implementerats, vilket kan användas för att spara avlyssnade e-postmeddelanden på disk som .eml-filer.
• I FTP-analysatorn har stöd för AUTH TLS-tillägget lagts till.
• I DNS-analysatorn har NAPTR-poster införts.
• I PPPoE-analysatorn har möjligheten att visa sessions-ID:n lagts till.
• Istället för separata loggar analyzer.log och dpd.log används nu en gemensam logg analyzer.log.
• Parsergeneratorn för analys av protokoll och filer har uppdaterats till version Spicy 1.14, som erbjuder nya optimeringar och möjliggör borttagning av oanvända funktionsparametrar.
• Möjlighet att ändra loggformatet har tillhandahållits, med användning av paketet logschema (till exempel kan JSON eller CSV användas istället för traditionella textloggar).
• För att bygga projektet krävs nu en kompilator som stödjer C++20-standarden. Som minimi stödda versioner anges GCC 10, Clang 8 och Visual Studio 2022.

Enligt kan även släppet av nätverkssäkerhetsscannern Nmap 7.98 nämnas, som är avsedd för nätverksrevision och upptäckte aktiva nätverkstjänster. Projektkoden levereras under NPSL (Nmap Public Source License), baserad på GPLv2-licensen, som kompletteras med riktlinjer (inte krav) för OEM-licensiering och köp av kommersiell licens, om tillverkaren inte vill avslöja koden för sin produkt enligt kopyleftslicensens krav eller avser att integrera Nmap i produkter som inte är förenliga med GPL.

I version Nmap 7.98 förekommer huvudsakligen buggfixar. Till exempel har kraschproblem åtgärdats vid användning av nmap med vissa VPN-gränssnitt. Bland funktionsändringarna märks tillägg av NSE-wrappar för att använda funktioner från libssh2 i Nmap-automatiseringsskript. DNS-resolverns funktionalitet har optimerats. Stödet för kryptovalutor som används i TLSv1.3, inklusive postkvanterade kryptovalutor, har lagts till i biblioteket tls.lua. Versionerna av OpenSSL 3.0.17, Lua 5.4.8 och Npcap 1.83 har uppdaterats i de förberedda byggena.

Källa: opennet.ru