Kutolewa kwa mfumo wa kugundua uvamizi wa Suricata 6.0

После года разработки организация OISF (Open Information Security Foundation) опубликовала kutolewa kwa mfumo wa kugundua uingiliaji wa mtandao na kuzuia Meerkat 6.0, ambayo hutoa zana za kukagua aina mbalimbali za trafiki. Katika usanidi wa Suricata inawezekana kutumia hifadhidata za saini, iliyotengenezwa na mradi wa Snort, pamoja na seti za sheria Vitisho Vinavyojitokeza и Vitisho vinavyojitokeza Pro. Vyanzo vya mradi kuenea iliyopewa leseni chini ya GPLv2.

Mabadiliko kuu:

• Начальная поддержка HTTP/2.
• Поддержка протоколов RFB и MQTT, включая возможность определения протокола и ведения лога.
• Возможность ведения лога для протокола DCERPC.
• Значительное повышение производительности ведения лога через подсистему EVE, обеспечивающую вывод событий в формате JSON. Ускорение достигнуто благодаря задействованию нового построитель сток JSON, написанного на языке Rust.
• Повышена масштабируемость системы логов EVE и реализована возможность ведения отельного лог-файла на каждый поток.
• Возможность определения условий для сброса сведений в лог.
• Возможность отражения MAC-адресов в логе EVE и повышение детализации лога DNS.
• Повышение производительности движка обработки потоков (flow engine).
• Поддержка идентификации реализаций SSH (HASSH).
• Реализация декодировщика туннелей GENEVE.
• На языке Rust переписан код для обработки ASN.1, DCERPC и SSH. На Rust также реализована поддержка новых протоколов.
• В языке определения правил в ключевом слове byte_jump добавлена поддержка параметра from_end, а в byte_test — параметра bitmask. Реализовано ключевое слово pcrexform, позволяющее использовать регулярные выражения (pcre) для захвата подстроки. Добавлено преобразование urldecode. Добавлено ключевое слово byte_math.
• Предоставления возможность использования cbindgen для генерации привязок на языках Rust и C.
• Добавлена начальная поддержка плагинов.

Vipengele vya Suricata:

• Kwa kutumia umbizo lililounganishwa ili kuonyesha matokeo ya uchanganuzi Umoja2, pia hutumiwa na mradi wa Snort, ambayo inaruhusu matumizi ya zana za uchambuzi wa kawaida kama vile bustani2. Uwezekano wa kuunganishwa na bidhaa za BASE, Snorby, Sguil na SQueRT. msaada wa pato la PCAP;
• Usaidizi wa ugunduzi wa kiotomatiki wa itifaki (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB, n.k.), hukuruhusu kufanya kazi kwa sheria tu kwa aina ya itifaki, bila kutaja nambari ya bandari (kwa mfano, kuzuia HTTP. trafiki kwenye bandari isiyo ya kawaida) . Upatikanaji wa avkodare za HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP na itifaki za SSH;
• Mfumo madhubuti wa uchanganuzi wa trafiki wa HTTP unaotumia maktaba maalum ya HTP iliyoundwa na mwandishi wa mradi wa Mod_Security kuchanganua na kuhalalisha trafiki ya HTTP. Sehemu inapatikana kwa ajili ya kudumisha kumbukumbu ya kina ya uhamishaji wa HTTP; kumbukumbu huhifadhiwa katika umbizo la kawaida
  Apache. Kurejesha na kuangalia faili zinazotumwa kupitia HTTP kunatumika. Usaidizi wa kuchanganua maudhui yaliyobanwa. Uwezo wa kutambua kwa URI, Cookie, vichwa, wakala wa mtumiaji, shirika la ombi/majibu;

• Usaidizi wa violesura mbalimbali vya kukatiza trafiki, ikiwa ni pamoja na NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Inawezekana kuchambua faili zilizohifadhiwa tayari katika muundo wa PCAP;
• Utendaji wa juu, uwezo wa kusindika hutiririka hadi gigabiti 10 kwa sekunde kwenye vifaa vya kawaida.
• Utaratibu wa kulinganisha vinyago vya utendaji wa juu kwa seti kubwa za anwani za IP. Usaidizi wa kuchagua maudhui kwa kutumia barakoa na misemo ya kawaida. Kutenga faili kutoka kwa trafiki, ikijumuisha utambulisho wao kwa jina, aina au ukaguzi wa MD5.
• Uwezo wa kutumia vigezo katika sheria: unaweza kuhifadhi habari kutoka kwa mkondo na baadaye uitumie katika sheria zingine;
• Matumizi ya umbizo la YAML katika faili za usanidi, ambayo hukuruhusu kudumisha uwazi huku ukiwa rahisi kuchakata kwa mashine;
• Usaidizi kamili wa IPv6;
• Injini iliyojengwa kwa uharibifu wa moja kwa moja na kuunganisha tena pakiti, kuruhusu usindikaji sahihi wa mito, bila kujali utaratibu ambao pakiti hufika;
• Msaada kwa itifaki za tunnel: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
• Usaidizi wa kusimbua pakiti: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
• Hali ya funguo za kuweka kumbukumbu na vyeti vinavyoonekana ndani ya miunganisho ya TLS/SSL;
• Uwezo wa kuandika hati katika Lua ili kutoa uchanganuzi wa hali ya juu na kutekeleza uwezo wa ziada unaohitajika kutambua aina za trafiki ambazo sheria za kawaida hazitoshi.

Chanzo: opennet.ru