Utgåvan av attackdetekteringssystemet Suricata 6.0

Efter ett års utveckling har organisationen OISF (Open Information Security Foundation) publicerade utgivning av systemet för upptäckts- och förhindrandesystem för nätverksintrång Suricata 6.0, som tillhandahåller verktyg för inspektion av olika typer av trafik. I Suricatas konfigurationer är det tillåtet att använda signaturdatabaser, utvecklade av projektet Snort, samt regeluppsättningar Emerging Threats och Emerging Threats Pro. Projektets källkoder sprids är under GPLv2-licensen.

Huvudsakliga förändringar:

• Första stödet för HTTP/2.
• Stöd för protokollen RFB och MQTT, inklusive möjlighet att identifiera protokollet och logga.
• Möjlighet att logga för protokollet DCERPC.
• Betydande ökning av loggningsprestandan genom EVE-systemet, vilket möjliggör utskrift av händelser i JSON-format. Förbättringar uppnåddes genom användning av en ny JSON-strömgenerator skriven i Rust.
• Skalbarheten hos EVE-loggarna har ökat och möjligheten att ha en separat loggfil för varje ström har implementerats.
• Möjlighet att definiera villkor för att rensa logguppgifter.
• Möjlighet att återspegla MAC-adresser i EVE-loggen och ökad detaljrikedom i DNS-loggen.
• Ökning av prestanda för flödesbehandlingsmotorn (flow engine).
• Stöd för identifiering av SSH-implementeringar (HASSH).
• Implementering av en tunneldecoder för GENEVE.
• Koden för bearbetning har skrivits om i Rust ASN.1, DCERPC och SSH. Stöd för nya protokoll har också implementerats i Rust.
• I regeldefinieringsspråket har nyckelordet byte_jump lagt till stöd för parametern from_end, och i byte_test har parametern bitmask lagts till. Det har implementerats ett nyckelord pcrexform som möjliggör användning av reguljära uttryck (pcre) för att fånga delsträngar. Urldecode konvertering har lagts till. Ett nyckelord byte_math har lagts till.
• Möjlighet att använda cbindgen för att generera bindningar i Rust och C.
• Inledande stöd för plugins har lagts till.

Funktioner i Suricata:

• Användning av ett enhetligt format för resultatutmatning Unified2, som också används av Snort-projektet, vilket gör det möjligt att använda standardanalysverktyg som barnyard2. Möjlighet till integration med produkter som BASE, Snorby, Sguil och SQueRT. Stöd för utmatning i PCAP-format;
• Stöd för automatisk protokolldetektering (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB etc.) vilket gör det möjligt att arbeta med regler endast baserat på protokollets typ utan koppling till portnumret (till exempel blockera HTTP-trafik på en icke-standardport). Förekomst av avkodare för protokoll som HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP och SSH;
• Ett kraftfullt system för analys av HTTP-trafik som använder ett särskilt bibliotek, HTP, för att analysera och normalisera HTTP-trafik, där skaparen av Mod_Security-projektet står bakom. En modul finns för att föra detaljerad logg över transitera HTTP-omdirigeringar, loggen sparas i standardformatet
  Apache. Stöd för extrahering och verifiering av filer som överförs via HTTP-protokollet. Stöd för analys av komprimerat innehåll. Möjlighet till identifiering via URI, cookies, rubriker, user-agent och kropp i begäran/svar;
• Stöd för olika gränssnitt för trafikfångst, inklusive NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Analys av redan sparade filer i PCAP-format är möjlig;
• Hög prestanda, förmåga att hantera strömmar upp till 10 gigabit/s på vanlig hårdvara.
• Högpresterande maskmatchningsmotor med stora uppsättningar av IP-adresser. Stöd för innehållsutvinning baserat på mask och reguljära uttryck. Utdrag av filer från trafik, inklusive identifiering av filer efter namn, typ eller MD5-kontrollsumma.
• Möjlighet att använda variabler i regler: du kan spara information från flödet och senare använda den i andra regler;
• Användning av YAML-format i konfigurationsfiler, vilket sparar tydlighet vid enkel maskinbearbetning;
• Fullt stöd för IPv6;
• Inbyggd motor för automatisk defragmentering och ombyggnad av paket, vilket säkerställer korrekt bearbetning av flöden oavsett paketens ankomstordning;
• Stöd för tunnelingprotokoll: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
• Stöd för dekodning av paket: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
• Loggning av nycklar och certifikat som figurerar i TLS/SSL-anslutningar;
• Möjlighet att skriva skript i Lua för att möjliggöra avancerad analys och genomförande av ytterligare funktioner som krävs för att identifiera trafiktyper där standardreglerna inte räcker till.

Källa: opennet.ru