Suricata 6.0 hujumni aniqlash tizimining chiqarilishi

После года разработки организация OISF (Open Information Security Foundation) e'lon qilindi tarmoqqa kirishni aniqlash va oldini olish tizimini chiqarish Meerkat 6.0, bu transportning har xil turlarini tekshirish vositasini taqdim etadi. Suricata konfiguratsiyasida foydalanishga ruxsat beriladi imzo asoslari, Snort loyihasi tomonidan ishlab chiqilgan, shuningdek, qoidalar to'plami Rivojlanayotgan tahdidlar и Rivojlanayotgan tahdidlar Pro. Loyihaning manba kodi tarqaldi GPLv2 ostida litsenziyalangan.

Asosiy o'zgarishlar:

• Начальная поддержка HTTP/2.
• Поддержка протоколов RFB и MQTT, включая возможность определения протокола и ведения лога.
• Возможность ведения лога для протокола DCERPC.
• Значительное повышение производительности ведения лога через подсистему EVE, обеспечивающую вывод событий в формате JSON. Ускорение достигнуто благодаря задействованию нового построитель сток JSON, написанного на языке Rust.
• Повышена масштабируемость системы логов EVE и реализована возможность ведения отельного лог-файла на каждый поток.
• Возможность определения условий для сброса сведений в лог.
• Возможность отражения MAC-адресов в логе EVE и повышение детализации лога DNS.
• Повышение производительности движка обработки потоков (flow engine).
• Поддержка идентификации реализаций SSH (HASSH).
• Реализация декодировщика туннелей GENEVE.
• На языке Rust переписан код для обработки ASN.1, DCERPC и SSH. На Rust также реализована поддержка новых протоколов.
• В языке определения правил в ключевом слове byte_jump добавлена поддержка параметра from_end, а в byte_test — параметра bitmask. Реализовано ключевое слово pcrexform, позволяющее использовать регулярные выражения (pcre) для захвата подстроки. Добавлено преобразование urldecode. Добавлено ключевое слово byte_math.
• Предоставления возможность использования cbindgen для генерации привязок на языках Rust и C.
• Добавлена начальная поддержка плагинов.

Suricata xususiyatlari:

• Tekshiruv natijalarini ko'rsatish uchun yagona formatdan foydalanish birlashtirilgan 2, shuningdek, Snort loyihasi tomonidan qo'llaniladi, bu kabi standart tahlil vositalaridan foydalanishga imkon beradi hovli 2. BASE, Snorby, Sguil va SQueRT mahsulotlari bilan integratsiya qilish imkoniyati. PCAP formatida chiqishni qo'llab-quvvatlash;
• Protokollarni avtomatik aniqlashni qo'llab-quvvatlash (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB va boshqalar), bu sizga qoidalarda faqat protokol turi bo'yicha, port raqamiga murojaat qilmasdan ishlashga imkon beradi (uchun). masalan, nostandart portda HTTP trafigini bloklash uchun). HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP va SSH protokollari uchun dekoderlar;
• HTTP trafigini tahlil qilish va normallashtirish uchun Mod_Security loyihasi muallifi tomonidan yaratilgan maxsus HTP kutubxonasidan foydalanadigan kuchli HTTP trafigini tahlil qilish tizimi. Tranzit HTTP o'tkazmalarining batafsil jurnalini yuritish uchun modul mavjud, jurnal standart formatda saqlanadi.
  Apache. HTTP protokoli orqali uzatiladigan fayllarni chiqarish va tekshirish qo'llab-quvvatlanadi. Siqilgan tarkibni tahlil qilishni qo'llab-quvvatlash. URI, Cookie, sarlavhalar, foydalanuvchi-agent, so'rov/javob tanasi orqali aniqlash qobiliyati;

• NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING kabi trafikni ushlab turish uchun turli xil interfeyslarni qo'llab-quvvatlash. PCAP formatida allaqachon saqlangan fayllarni tahlil qilish mumkin;
• Yuqori unumdorlik, an'anaviy uskunada 10 gigabit / s gacha oqimlarni qayta ishlash qobiliyati.
• Katta IP manzillar to'plamiga ega yuqori samarali niqob mos keladigan vosita. Niqob va oddiy iboralar bo'yicha tarkib tanlashni qo'llab-quvvatlash. Fayllarni trafikdan ajratish, shu jumladan nomi, turi yoki MD5 nazorat summasi bo'yicha identifikatsiya qilish.
• Qoidalarda o'zgaruvchilardan foydalanish imkoniyati: siz oqimdan ma'lumotni saqlashingiz va keyin uni boshqa qoidalarda ishlatishingiz mumkin;
• YAML formatini konfiguratsiya fayllarida ishlatish, bu sizga mashinada ishlov berish qulayligi bilan ko'rinishni saqlashga imkon beradi;
• To'liq IPv6 qo'llab-quvvatlash;
• Paketlarni avtomatik defragmentatsiya qilish va qayta yig'ish uchun o'rnatilgan dvigatel, bu paketlarning kelish tartibidan qat'i nazar, oqimlarni to'g'ri qayta ishlashni ta'minlash imkonini beradi;
• Tunnel protokollarini qo'llab-quvvatlash: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
• Paket dekodlashni qo'llab-quvvatlash: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
• TLS/SSL ulanishlarida paydo bo'ladigan kalitlar va sertifikatlar uchun jurnalga yozish rejimi;
• Ilg'or tahlilni ta'minlash va standart qoidalar etarli bo'lmagan trafik turlarini aniqlash uchun zarur bo'lgan qo'shimcha funktsiyalarni amalga oshirish uchun Lua skriptlarini yozish qobiliyati.

Manba: opennet.ru