Lansering av nätverksanalysatorerna Wireshark 4.4.0 och Zeek 7.0.0

En ny stabil version av nätverksanalysatorn Wireshark 4.4 har publicerats. Programmet stöder mer än tusen nätverksprotokoll och flera dussin format för trafikfångst. Det erbjuder ett flexibelt gränssnitt för att skapa filter, fånga trafik, analysera sparade dumpningar och inspektera paket. Avancerade funktioner såsom ombyggnad av paketordning, extrahering och lagring av filinnehåll överfört med olika protokoll, återspelning av VoIP- och RTP-strömmar, dekryptering av IPsec, ISAKMP, Kerberos, SNMPv3, SSL/TLS, WEP och WPA/WPA2 stöds. Koden för projektet distribueras under GPLv2-licensen.

Nyckelfunktioner i Wireshark 4.4.0:

• Support för automatisk profilväxling med inställningar har lagts till. Användaren kan knyta ett visningsfilter till en profil, och om en fil med fångad trafik öppnas som faller under filtret, aktiveras automatiskt den relaterade profilen.
• Stöd för Lua 5.3 och 5.4 har lagts till. Stödet för Lua 5.1 och 5.2 har upphört.
• I visningsfilter har stödet för strängvärden förbättrats (möjlighet att visa numeriska fält som strängar).
• Möjlighet att definiera filterfunktioner som plugins, på liknande sätt som filparserare och protokollparsmoduler, har tillhandahållits.
• Operationen "Edit > Copy > Display filter as pcap filter" har lagts till för att konvertera visningsfilter till pcap-filter med ekvivalenta fält.
• Många grafiska dialoger har förbättrats, och grafiker för in/ut, trafikströmmar, VoIP-samtal och TCP-strömmar har moderniserats.
• Definiering av egna kolumner har tillåtits, där alla operationer på fält (filterfunktioner, matematiska beräkningar, logiska operationer, protokollmodifierare etc.) kan användas.
• Definiering av egna utdatafält för "tshark -e" har tillåtits, med användning av operationer på befintliga fält.
• Stöd för byggnation med zlib-ng-biblioteket istället för zlib för arbete med komprimerade filer har lagts till.
• Stöd för protokoll och format har lagts till:
  • Allied Telesis Resiliency Link (AT RL),
  • ATN Security Label,
  • Bit Index Explicit Replication (BIER),
  • Bus Mirroring Protocol,
  • EGNOS Message Server (EMS),
  • Galileo E1-B I/NAV,
  • IBM i RDMA Endpoint (iRDMA-EDP),
  • IWBEMSERVICES, MAC NR Framed (mac-nr-framed),
  • Matter Bluetooth Transport Protocol (MatterBTP),
  • MiWi P2P Star,
  • Monero,
  • NMEA 0183,
  • PLDM,
  • RDP authentication redirection virtual channel protocol (rdpear),
  • RF4CE Network Layer (RF4CE),
  • RF4CE Profile (RF4CE Profile),
  • RK512, SAP Remote Function Call (SAPRFC),
  • SBAS L1 Navigationsmeddelande,
  • Scanner Access Now Easy (SANE),
  • TREL,
  • WMIO,
  • ZeroMQ Meddelande Transportprotokoll (ZMTP).
• Sårbarhet åtgärdad (CVE-2024-8250) som orsakar krasch vid bearbetning av speciellt formaterade paket.

Det kan också noteras att releasedatumet för systemet för trafikanalys och identifiering av nätverksintrång, Zeek 7.0.0, tidigare distribuerades under namnet Bro. Zeek är en plattform för trafikanalys, främst inriktad på att spåra säkerhetsrelaterade händelser men inte begränsad till detta användningsområde. Zeek-plattformen tillhandahåller moduler för analys och avkodning av olika nätverksprotokoll på applikationsnivå, som beaktar anslutningstillstånd och möjliggör skapande av detaljerade loggar (arkiv) för nätverksaktivitet. Ett ämnesorienterat språk erbjuds för att skriva skript för övervakning och identifiering av avvikelser med hänsyn till specifika infrastrukturer. Systemet är optimerat för användning i nätverk med hög bandbredd. Ett API för integration med tredje part informationssystem och realtidsdatautbyte tillhandahålls. Systemets kod är skriven i C++ och distribueras under BSD-licensen.

I den nya versionen av Zeek:

• Telemetry-ramverket, som används för att samla och exportera statistik (till exempel antalet öppna anslutningar och intensitet av förfrågningar), har omarbetats. Istället för att aggregera mätvärden på ändpunkter och leda dem till en separat kontrollnod, används i den nya versionen en mekanism för tjänstedetektering baserad på Prometheus för att samla in mätvärden från noder.
• Parsergeneratorn för avkodning av protokoll och filer har uppdaterats till version Spicy 1.11, där kodens representation i minnet har ändrats, pålitligheten har ökat, hanteringen av paketförluster har förbättrats, stöd för bitfält har utvidgats och hastigheten har ökat (för vissa protokoll uppgår prestandaförbättringen till 30%).
• Stöd för scriptoptimeringsmotorn ZAM (Zeek Abstract Machine) har lagts till, vilket möjliggör ökad prestanda för Zeek-skript genom kompilering av syntaxträdets noder till en mer effektivt körbar låg-nivå form.
• Nya protokollanalysatorer för QUIC och LDAP har föreslagits, byggda med hjälp av parsergeneratorn Spicy.
• Korrekt hantering av vidarekoppling till nyare versioner av HTTP-protokollet har säkerställts.
• Förbättrad analys av WebSocket.
• Stöd för fördröjd loggning har lagts till.

Källa: opennet.ru