Efter tv\u00e5 \u00e5rs utveckling publicerade organisationen OISF (Open Information Security Foundation) version 8.0 av systemet f\u00f6r detektion och f\u00f6rebyggande av n\u00e4tverksintr\u00e5ng, Suricata, som erbjuder verktyg f\u00f6r inspektion av olika typer av trafik. I Suricata-konfigurationer \u00e4r det m\u00f6jligt att anv\u00e4nda signaturdatabasen som utvecklas av projektet Snort, samt upps\u00e4ttningar av regler fr\u00e5n Emerging Threats och Emerging Threats Pro. K\u00e4llkoden f\u00f6r projektet distribueras under GPLv2-licensen.<\/p>\n
Huvudsakliga f\u00f6r\u00e4ndringar:<\/p>\n
\n
En experimentell funktion har lagts till f\u00f6r att anv\u00e4nda Suricata som en brandv\u00e4gg. Brandv\u00e4ggsl\u00e4get m\u00f6jligg\u00f6r anv\u00e4ndning av en dialekt av inspektionsregelspr\u00e5ket f\u00f6r att filtrera n\u00e4tverkspaket.<\/li>\n
M\u00f6jligheten att skriva skript i Lua-spr\u00e5ket har omarbetats. En Lua 5.4-tolk har integrerats i kodbasen och k\u00f6rs i en sandbox-milj\u00f6 som begr\u00e4nsar reglerna i Lua (till exempel kan ingen skrivning till filer g\u00f6ras eller n\u00e4tverks-sockets skapas fr\u00e5n regler).<\/li>\n
Funktionen f\u00f6r dynamisk registrering av plugins med protokollparserare, detektorer och komponenter f\u00f6r loggning har tillhandah\u00e5llits.<\/li>\n
Betydande prestandaoptimeringar har genomf\u00f6rts, vilket har m\u00f6jliggjort accelerationen av olika aspekter av motorns arbete, inklusive protokollidentifiering, regelladdning och initialisering. Accelerationen uppn\u00e5s genom att f\u00f6ruts\u00e4ga \u00f6verg\u00e5ngar, optimera hash-funktioner, \u00f6ka storleken p\u00e5 buffrar f\u00f6r dataladdning i PCAP-format samt omarbeta tr\u00e5dsynkronisering. Det har ocks\u00e5 g\u00e5tt att f\u00f6rkorta starttiden f\u00f6r Suricata genom att anv\u00e4nda caching, ut\u00f6kad portgruppering och en f\u00f6rb\u00e4ttrad algoritm f\u00f6r IP-adressers\u00e4ttning.<\/li>\n
LibHTP-, FTP-, ENIP-hanterare samt koden f\u00f6r MIME-typparsing, byte_extract-operationer och base64-avkodning har skrivits om i Rust.<\/li>\n
St\u00f6d f\u00f6r protokollen DoH (DNS \u00f6ver HTTPS), LDAP, mDNS (Multicast DNS) och Websocket har lagts till.<\/li>\n
Nya moduler f\u00f6r dekodering och loggning av protokollen ARP och POP3 har lagts till.<\/li>\n
Trafikparsing av SDP \u00f6ver SIP och SIP \u00f6ver TCP har s\u00e4kerst\u00e4llts.<\/li>\n
M\u00f6jligheterna f\u00f6r protokollidentifiering och regelbyggande har utvidgats. F\u00f6r regler har nyckelord implementerats: LDAP, MIME\/EMAIL, vlan.id, DNS, SMTP, FTP, TLS, tcp.wscale, pgsql.query, from_base64, entropy, luaxform och mDNS. Transaktionella regler har lagts till f\u00f6r att beskriva b\u00e5da riktningar av transaktionen i en regel.<\/li>\n<\/ul>\n
Funktioner i Suricata:<\/p>\n
\n
\n
\n
Anv\u00e4ndning av Unified2-formatet f\u00f6r att presentera resultat av kontroller, vilket ocks\u00e5 anv\u00e4nds av Snort-projektet, vilket m\u00f6jligg\u00f6r anv\u00e4ndning av standardverktyg f\u00f6r analys, s\u00e5som barnyard2. M\u00f6jlighet till integration med produkterna BASE, Snorby, Sguil och SQueRT. St\u00f6d f\u00f6r output i PCAP-format;<\/li>\n
St\u00f6d f\u00f6r automatisk protokollidentifiering (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB etc.), vilket m\u00f6jligg\u00f6r anv\u00e4ndning av endast protokolltyp i regler utan koppling till portnummer (till exempel blockera HTTP-trafik p\u00e5 en icke-standardport). Decoders f\u00f6r protokoll HTTP, SSL<\/a>, TLS, SMB, SMB2, DCERPC, SMTP, FTP, LDAP och SSH;<\/li>\n