Detektion av attacker med systemet Suricata 5.0

Organisationen OISF (Open Information Security Foundation) publicerade utgivning av systemet för upptäckts- och förhindrandesystem för nätverksintrång Suricata 5.0, som tillhandahåller verktyg för inspektion av olika typer av trafik. I Suricatas konfigurationer är det tillåtet att använda signaturdatabaser, utvecklade av projektet Snort, samt regeluppsättningar Emerging Threats och Emerging Threats Pro. Projektets källkoder sprids är under GPLv2-licensen.

Huvudsakliga förändringar:

• Nya moduler för parser och loggning för protokollen
  RDP, SNMP och SIP, skrivna i Rust. I modulen för FTP-parser har stöd för loggning via EVE-systemet lagts till, vilket ger utdata av händelser i JSON-format;
• Som tillägg till det stöd för TLS-klientidentifieringsmetoden JA3 som introducerades i den senaste utgåvan, har stöd för metoden JA3S, lagts till för att baserat på egenskaperna hos anslutningsförhandlingar och angivna parametrar definiera vilket program som används för att etablera anslutningen (till exempel kan det identifiera användning av Tor och andra typiska applikationer). JA3 gör det möjligt att identifiera klienter, medan JA3S identifierar servrar. Resultaten av identifieringen kan användas i regelkommandospråket och i loggar;
• En experimentell möjlighet för matchning med prov från stora datamängder har lagts till, implementerad genom nya operationer dataset och datarep. Möjligheten är till exempel tillämplig för att söka efter maskar i stora svarta listor, som har miljontals poster;
• I HTTP-inspektionsläget säkerställs full täckning av alla scenarier som beskrivs i testuppsättningen HTTP Evader (till exempel omfattar metoder som används för att dölja skadlig aktivitet i trafiken);
• Verktygen för modulutveckling i Rust har överförts från alternativ till obligatoriska standardfunktioner. Det planeras att utöka användningen av Rust i projektets kodbas och gradvis ersätta moduler med motsvarigheter utvecklade i Rust;
• Protokollmotorernas åter identifiering har förbättrats när det gäller noggrannhet och behandling av asynkrona trafikströmmar;
• I EVE-loggen har stöd för en ny typ av poster "anomaly" lagts till, där ovanliga händelser som upptäckts vid dekodning av paket sparas. I EVE har även information om VLAN och trafikupptagande gränssnitt utökats. En funktion för att spara alla HTTP-huvuden i http-poster i EVE-loggen har lagts till;
• I eBPF-baserade hanterare finns stöd för hårdvaruaccelerationsmekanismer för paketfångst. Hårdvaruaccelerationen är för närvarande begränsad till Netronome-nätverksadaptrar, men kommer snart att finnas för annan hårdvara;
• Koden för trafikfångst har skrivits om med hjälp av Netmap-ramverket. Möjlighet har lagts till att använda Netmaps avancerade funktioner, såsom en virtuell switch. VALE;
• Tillagd stöd för ett nytt schema för nyckelordidentifiering för "Sticky Buffers". Det nya schemat definieras i formatet "protokoll.buffer", till exempel för inspektion av URI kommer nyckelordet att anta formen "http.uri" istället för "http_uri";
• All använd kod i Python har kontrollerats för kompatibilitet med
  Python 3;
• Stödet för Tilera-arkitekturen, textloggen dns.log och den gamla filen files-json.log har upphört.

Funktioner i Suricata:

• Användning av ett enhetligt format för resultatutmatning Unified2, som också används av Snort-projektet, vilket gör det möjligt att använda standardanalysverktyg som barnyard2. Möjlighet till integration med produkter som BASE, Snorby, Sguil och SQueRT. Stöd för utmatning i PCAP-format;
• Stöd för automatisk protokolldetektering (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB etc.) vilket gör det möjligt att arbeta med regler endast baserat på protokollets typ utan koppling till portnumret (till exempel blockera HTTP-trafik på en icke-standardport). Förekomst av avkodare för protokoll som HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP och SSH;
• Ett kraftfullt system för analys av HTTP-trafik som använder ett särskilt bibliotek, HTP, för att analysera och normalisera HTTP-trafik, där skaparen av Mod_Security-projektet står bakom. En modul finns för att föra detaljerad logg över transitera HTTP-omdirigeringar, loggen sparas i standardformatet
  Apache. Stöd för extrahering och verifiering av filer som överförs via HTTP-protokollet. Stöd för analys av komprimerat innehåll. Möjlighet till identifiering via URI, cookies, rubriker, user-agent och kropp i begäran/svar;
• Stöd för olika gränssnitt för trafikfångst, inklusive NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Analys av redan sparade filer i PCAP-format är möjlig;
• Hög prestanda, förmåga att hantera strömmar upp till 10 gigabit/s på vanlig hårdvara.
• Högpresterande maskmatchningsmotor med stora uppsättningar av IP-adresser. Stöd för innehållsutvinning baserat på mask och reguljära uttryck. Utdrag av filer från trafik, inklusive identifiering av filer efter namn, typ eller MD5-kontrollsumma.
• Möjlighet att använda variabler i regler: du kan spara information från flödet och senare använda den i andra regler;
• Användning av YAML-format i konfigurationsfiler, vilket sparar tydlighet vid enkel maskinbearbetning;
• Fullt stöd för IPv6;
• Inbyggd motor för automatisk defragmentering och ombyggnad av paket, vilket säkerställer korrekt bearbetning av flöden oavsett paketens ankomstordning;
• Stöd för tunnelingprotokoll: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
• Stöd för dekodning av paket: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
• Loggning av nycklar och certifikat som figurerar i TLS/SSL-anslutningar;
• Möjlighet att skriva skript i Lua för att möjliggöra avancerad analys och genomförande av ytterligare funktioner som krävs för att identifiera trafiktyper där standardreglerna inte räcker till.

Källa: opennet.ru