ืืจืืื ืืืืฆืืข OISF (Open Information Security Foundation) ืืขืืืื ื ืคืื ื ืขืฅ ืื ืืจืืืฉืึทื ืืืืขืงืฉืึทื ืืื ืคืึทืจืืืืื ื ืกืืกืืขื , ืืืึธืก ืืื ืืืฉืืจืื ืคึฟืึทืจ ืืืจืืงืืง ืคืึทืจืฉืืื ืืืืคึผืก ืคืื ืคืึทืจืงืขืจ. ืืื Suricata ืงืึทื ืคืืืืขืจืืืฉืึทื ื ืขืก ืืื ืืขืืืขื ืฆื ื ืืฆื , ืืขืืืขืืึธืคึผืขื ืืืจื ืื ืกื ืึธืจื ืคึผืจืืืขืงื, ืืื ืืขืืื ื ืืื ืฉืืขืื ืคืื ืึผืืืื ะธ . ืคึผืจืึธืืขืงื ืืงืืจืื ืืืืกืึทื ืกื ืืื ืืขืจ GPLv2.
ืืืืคึผื ืขื ืืขืจืื ืืขื:
- ื ืื ืืึทืืืฉืืื ืคึฟืึทืจ ืคึผืึทืจืกืื ื ืืื ืืึธืืื ื ืคึผืจืึธืืึธืงืึธืืก ืืึธืื ืฉืืื ืืึทืงืขื ืขื
RDP, SNMP ืืื SIP ืืขืฉืจืืื ืืื Rust. ืื ืคืืืืงืืื ืฆื ืงืืึธืฅ ืืืจื ืื EVE ืกืึทืืกืืกืืขื ืืื ืฆืืืขืืขืื ืฆื ืื FTP ืคึผืึทืจืกืื ื ืืึธืืืืข, ืคึผืจืึทืืืืืืื ื ืืขืฉืขืขื ืืฉ ืจืขืืืืืึทื ืืื JSON ืคึฟืึธืจืืึทื; - ืืื ืึทืืืฉืึทื ืฆื ืื ืฉืืืฆื ืคึฟืึทืจ ืื JA3 TLS ืงืืืขื ื ืืขืืืืืืึทืฆืืข ืืืคึฟื ืืืึธืก ืืื ืืจืืืก ืืื ืื ืืขืฆืืข ืืขืืืื ื, ืฉืืืฆื ืคึฟืึทืจ ืืขื ืืืคึฟื , ืืึทืืืจื ืืืืฃ ืื ืืฉืึทืจืึทืงืืขืจืืกืืืงืก ืคืื ืงืฉืจ ืคืึทืจืืึทื ืืืื ื ืืื ืกืคึผืขืกืืคืืขื ืคึผืึทืจืึทืืขืืขืจืก, ืืึทืฉืืืืขื ืืืึธืก ืืืืืืืืืจื ืืื ืืขื ืืฆื ืฆื ืคืึทืจืืืืื ืึท ืงืฉืจ (ืืืฉื, ืขืก ืึทืืึทืื ืืืจ ืฆื ืืึทืฉืืืืขื ืื ื ืืฆื ืคืื Tor ืืื ืื ืืขืจืข ื ืึธืจืืึทื ืึทืคึผืืึทืงืืืฉืึทื ื). JA3 ืึทืืึทืื ืืืจ ืฆื ืืขืคืื ืืจื ืงืืืืึทื ืฅ, ืืื JA3S ืึทืืึทืื ืืืจ ืฆื ืืขืคืื ืืจื ืกืขืจืืืขืจืก. ืื ืจืขืืืืืืื ืคืื ืื ืคืขืกืืงืืึทื ืงืขื ืขื ืืืขืจื ืืขื ืืฆื ืืื ืื ืืขืจืฉื ืืึทืฉืืขืืืงื ืฉืคึผืจืึทื ืืื ืืื ืืึธืืก;
- ืฆืืืขืืืืื ืืงืกืคึผืขืจืืขื ืึทื ืคืืืืงืืื ืฆื ืืืืึทืื ืกืึทืืคึผืึทืื ืคืื ืืจืืืก ืืึทืื ืฉืืขืื, ืืืคึผืืึทืืขื ืึทื ืืื ื ืืึทืข ืึทืคึผืขืจืืืฉืึทื ื . ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืื ืฉืืจืื ืืื ืึธื ืืืขื ืืืขื ืฆื ืืืื ืคึฟืึทืจ ืืึทืกืงืก ืืื ืืจืืืก ืืืึทืงืืืกืฅ ืืื ืืืืืึทื ื ืคืื ืืืื ืกื;
- ืืืืคึผ ืืืจืืงืืง ืืึธืืข ืืื ืคืื ืงืึทืืืขืจืืืืฉ ืคืื ืึทืืข ืกืืืืึทืืืึธื ืก ืืืกืงืจืืืื ืืื ืื ืคึผืจืึธืืข ืกืืืื (ืืืฉื, ืงืึธืืืขืจืก ืืขืงื ืืงืก ืืขื ืืฆื ืฆื ืืึทืืึทืืื ืืืืืข ืืขืืืงืืื ืืื ืคืึทืจืงืขืจ);
- ืืืฉืืจืื ืคึฟืึทืจ ืืขืืืขืืึธืคึผืื ื ืืึทืืืฉืืื ืืื ืื ืจืืกื ืฉืคึผืจืึทื ืืขื ืขื ืืจืึทื ืกืคืขืจื ืคืื ืึธืคึผืฆืืขืก ืฆื ืืึทื ืืึทืืึธืจื ื ืึธืจืืึทื ืงืืืคึผืึทืืืืึทืืื. ืืื ืืขืจ ืฆืืงืื ืคึฟื, ืขืก ืืื ืคึผืืึทื ื ืขื ืฆื ืืงืกืคึผืึทื ื ืื ื ืืฆื ืคืื ืจืืกื ืืื ืื ืคึผืจืืืขืงื ืงืึธื ืืึทืืข ืืื ืืืกืืขืืืืืึทื ืคืึทืจืืืึทืื ืืึทืืืฉืืื ืืื ืึทื ืึทืืึธืืืขืก ืืขืืืขืืึธืคึผืขื ืืื ืจืืกื;
- ืืขืจ ืคึผืจืึธืืึธืงืึธื ืืขืคึฟืื ืืฆืืข ืืึธืืึธืจ ืืื ืืืคึผืจืืืื ืฆื ืคึฟืึทืจืืขืกืขืจื ืึทืงืืขืจืึทืกื ืืื ืฉืขืคึผื ืืืกืื ืืงืจืึทื ืึทืก ืคืึทืจืงืขืจ ืคืืึธืื;
- ืฉืืืฆื ืคึฟืึทืจ ืึท ื ืืึทืข "ืึทื ืึทืืึทืื" ืคึผืึธืืืฆืืข ืืืคึผ ืืื ืฆืืืขืืขืื ืฆื ืื EVE ืงืืึธืฅ, ืืืึธืก ืกืืึธืจื ืืืืืคึผืืงืึทื ืืขืฉืขืขื ืืฉื ืืืืขืงืืึทื ืืืขื ืืืงืึธืืืื ื ืคึผืึทืงืืฅ. EVE ืืื ืืืื ืืงืกืคึผืึทื ืืื ืื ืึทืจืืืกืืืืึทืื ืคืื ืืื ืคึฟืึธืจืืึทืฆืืข ืืืขืื ืืืืึทื ื ืืื ืคืึทืจืงืขืจ ืืึทืคึผื ืื ืืขืจืคืืืกืื. ืฆืืืขืืขืื ืึธืคึผืฆืืข ืฆื ืจืึทืืขืืืขื ืึทืืข ืืืืคึผ ืืขืืขืจื ืืื EVE ืืืืคึผ ืงืืึธืฅ ืืืื ืกื;
- eBPF-ืืืืืจื ืืึทื ืืืขืจืก ืฆืืฉืืขืื ืฉืืืฆื ืคึฟืึทืจ ืืึทืื ืืืึทืจื ืืขืงืึทื ืืืึทืื ืคึฟืึทืจ ืึทืงืกืขืืขืจืืืืื ื ืคึผืึทืงืึทื ืืึทืคึผื. ืืึทืื ืืืึทืจื ืึทืงืกืขืืขืจืืืฉืึทื ืืื ืืขืจืืืืึทื ืืืืืืขื ืฆื ื ืขืืจืึธื ืึธืืข ื ืขืฅ ืึทืืึทืคึผืืขืจื, ืึธืืขืจ ืืืขื ืืึทืื ืืืื ืื ืืืฆื ืคึฟืึทืจ ืื ืืขืจืข ืืืกืจืืื;
- ืืขืจ ืงืึธื ืคึฟืึทืจ ืงืึทืคึผืืฉืขืจืื ื ืคืึทืจืงืขืจ ืืื ืื Netmap ืคืจืืืืืืขืจืง ืืื ืจืืจืืืึทื. ืฆืืืขืืืืื ืื ืคืืืืงืืื ืฆื ื ืืฆื ืึทืืืึทื ืกืืจืืข ื ืขืืืึทืคึผ ืคึฟืขืึดืงืืืื ืึทืืึท ืืื ืึท ืืืืจืืืึทื ืืึทืฉืืืืขื ;
- ืฉืืืฆื ืคึฟืึทืจ ืึท ื ืืึทืข ืงืืืืขืจื ืืขืคึฟืื ืืฆืืข ืกืืขืืข ืคึฟืึทืจ ืงืืขืคึผืืง ืืึทืคืขืจืก. ืื ื ืืึทืข ืกืืขืืข ืืื ืืืคืืื ื ืืื ืื "ืคึผืจืึธืืึธืงืึธื.ืืึทืคืขืจ" ืคึฟืึธืจืืึทื, ืคึฟืึทืจ ืืืึทืฉืคึผืื, ืคึฟืึทืจ ืื ืกืคึผืขืงืืื ื ืึท URI, ืื ืงืืืืขืจื ืืืขื ื ืขืืขื ืื ืคืึธืจืขื "ืืืืคึผ.ืืจื" ืึทื ืฉืืึธื ืคืื "ืืืืคึผ_ืืจื";
- ืื ืคึผืืืืึธื ืงืึธื ืืขื ืืฆื ืืื ืืขืกืืขื ืคึฟืึทืจ ืงืึทืืคึผืึทืืึทืืืืึทืื ืืื
ืคึผืืืืึธื3; - ืฉืืืฆื ืคึฟืึทืจ ืื Tilera ืึทืจืงืึทืืขืงืืฉืขืจ, ืื ืืขืงืกื ืงืืึธืฅ dns.log ืืื ืื ืึทืื ืืึธื ืืขืงืขืก-json.log ืืื ืึธืคึผืืขืฉืืขืื.
ืคึฟืขืึดืงืืืื ืคืื Suricata:
- ื ืืฆื ืึท ืืื ืึทืคืืื ืคึฟืึธืจืืึทื ืฆื ืืืืึทืื ืืืขืจืงืืงื ืจืขืืืืืึทืื , ืืืื ืืขื ืืฆื ืืืจื ืื ืกื ืึธืจื ืคึผืจืืืขืงื, ืืืึธืก ืึทืืึทืื ืื ื ืืฆื ืคืื ื ืึธืจืืึทื ืึทื ืึทืืืกืืก ืืืฉืืจืื ืึทืืึท ืืื . ืืขืืืขืืงืืื ืคืื ืื ืืึทืืจืืืฉืึทื ืืื BASE, Snorby, Sguil ืืื SQueRT ืคึผืจืึธืืืงืื. ืคึผืงืึทืคึผ ืจืขืืืืืึทื ืฉืืืฆื;
- ืฉืืืฆื ืคึฟืึทืจ ืึธืืึทืืึทืืืง ืืืืขืงืฉืึทื ืคืื ืคึผืจืึธืืึธืงืึธืืก (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB, ืืื"ื ื), ืึทืืึทืืื ื ืืืจ ืฆื ืึทืจืืขืื ืืื ืึผืืืื ืืืืื ืืืจื ืคึผืจืึธืืึธืงืึธื ืืืคึผ, ืึธื ืืขืจืืึธื ืขื ืฆื ืื ืคึผืึธืจื ื ืืืขืจ (ืืืฉื, ืคืึทืจืฉืคึผืึทืจื HTTP ืคืึทืจืงืขืจ ืืืืฃ ืึท ื ืื-ื ืึธืจืืึทื ืคึผืึธืจื). ืึทืืืืืืึทืืืืืื ืคืื ืืืงืึธืืขืจื ืคึฟืึทืจ ืืืืคึผ, ืกืกื, ืืืก, ืกืื, ืกืื2, ืืกืขืจืคึผืง, ืกืืืคึผ, ืคืืคึผ ืืื ืกืฉ ืคึผืจืึธืืึธืงืึธืืก;
- ื ืฉืืึทืจืง HTTP ืคืึทืจืงืขืจ ืึทื ืึทืืืกืืก ืกืืกืืขื ืืืึธืก ื ืืฆื ืึท ืกืคึผืขืฆืืขื HTP ืืืืืืึธืืขืง ืืืฉืืคื ืืืจื ืืขืจ ืืืืจ ืคืื ืื Mod_Security ืคึผืจืืืขืงื ืฆื ืคึผืึทืจืก ืืื ื ืึธืจืืึทืืืื HTTP ืคืึทืจืงืขืจ. ื ืืึธืืืืข ืืื ืืืจืขืืืืื ืฆื ืืึทืืื ืึท ืืืืืืื ืงืืึธืฅ ืคืื ืืืจืืคืึธืจ ืืืืคึผ ืืจืึทื ืกืคืขืจืก; ืืขืจ ืงืืึธืฅ ืืื ืืขืจืืืขืืืขื ืืื ืึท ื ืึธืจืืึทื ืคึฟืึธืจืืึทื
ืึทืคึผืึทืืฉื. ืจืืืจืืืืื ื ืืื ืงืึธื ืืจืึธืืืจืื ื ืืขืงืขืก ืืจืึทื ืกืืืืืขื ืืืจื ืืืืคึผ ืืื ืืขืฉืืืฆื. ืฉืืืฆื ืคึฟืึทืจ ืคึผืึทืจืกืื ื ืงืึทืืคึผืจืขืกื ืืื ืืึทืื. ืคืืืืงืืื ืฆื ืืืขื ืืืคืืฆืืจื ืืืจื URI, ืงืืื, ืืขืืขืจื, ืืึทื ืืฆืขืจ-ืึทืืขื ื, ืืขืื / ืขื ืืคืขืจ ืืืฃ; - ืฉืืืฆื ืคึฟืึทืจ ืคืึทืจืฉืืื ืื ืืขืจืกืขืคึผืฉืึทื ื ืคึฟืึทืจ ืคืึทืจืงืขืจ ืื ืืขืจืกืขืคึผืฉืึทื, ืึทืจืืึทื ืืขืจืขืื ื NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. ืขืก ืืื ืืขืืืขื ืฆื ืึทื ืึทืืืื ืฉืืื ืืขืจืืืขืืืขื ืืขืงืขืก ืืื ืคึผืงืึทืคึผ ืคึฟืึธืจืืึทื;
- ืืืื ืคืึธืจืฉืืขืืื ื, ืคืืืืงืืื ืฆื ืคึผืจืึธืฆืขืก ืคืืึธืื ืึทืจืืืฃ ืฆื 10 ืืืืืืืื / ืกืขืง ืืืืฃ ืงืึทื ืืืขื ืฉืึทื ืึทื ืืืกืจืืื.
- ืืืื-ืคืึธืจืฉืืขืืื ื ืืึทืกืงืข ืืืึธืก ืจืืืื ืืขืงืึทื ืืืึทื ืคึฟืึทืจ ืืจืืืก ืฉืืขืื ืคืื IP ืึทืืจืขืกืขืก. ืฉืืืฆื ืคึฟืึทืจ ืกืึทืืขืงืืื ื ืืื ืืึทืื ืืืจื ืืึทืกืงืข ืืื ืจืขืืืืขืจ ืืืืกืืจืืงื. ืืืึธืืืจื ืืขืงืขืก ืคืื ืคืึทืจืงืขืจ, ืึทืจืืึทื ืืขืจืขืื ื ืืืืขืจ ืืขืืืืืืึทืฆืืข ืืืจื ื ืึธืืขื, ืืืคึผ ืึธืืขืจ MD5 ืืฉืขืงืงืกืื.
- ืคืืืืงืืื ืฆื ื ืืฆื ืืืขืจืืึทืืึทืื ืืื ืึผืืืื: ืืืจ ืงืขื ืขื ืจืึทืืขืืืขื ืืื ืคึฟืึธืจืืึทืฆืืข ืคืื โโืึท ืืืึทื ืืื ืฉืคึผืขืืขืจ ื ืืฆื ืขืก ืืื ืื ืืขืจืข ืึผืืืื;
- ื ืืฆื ืื YAML ืคึฟืึธืจืืึทื ืืื ืงืึทื ืคืืืืขืจืืืฉืึทื ืืขืงืขืก, ืืืึธืก ืึทืืึทืื ืืืจ ืฆื ืืึทืืื ืงืืขืจืืื ืืฉืขืช ืื ืคึผืจืึธืฆืขืก ืืื ืืจืื ื ืฆื ืืึทืฉืื;
- ืืึทื ืฅ IPv6 ืฉืืืฆื;
- ืืขืืืื-ืืื ืืึธืืึธืจ ืคึฟืึทืจ ืึธืืึทืืึทืืืง ืืขืคืจืึทืืืขื ืืึทืืืึธื ืืื ืจืืึทืกืขืืืึทืืื ื ืคืื ืคึผืึทืงืืฅ, ืึทืืึทืืื ื ืื ืจืืืืืง ืคึผืจืึทืกืขืกืื ื ืคืื ืกืืจืืื, ืจืึทืืึทืจืืืึทืก ืคืื ืื ืกืืจ ืืื ืืืึธืก ืคึผืึทืงืืฅ ืึธื ืงืืืขื;
- ืฉืืืฆื ืคึฟืึทืจ ืืึทื ืึทืืื ื ืคึผืจืึธืืึธืงืึธืืก: ืืขืจืขืืึธ, IP-IP, IP6-IP4, IP4-IP6, GRE;
- ืคึผืึทืงืึทื ืืืงืึธืืืื ื ืฉืืืฆื: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
- ืืึธืืข ืคึฟืึทืจ ืืึธืืื ื ืฉืืืกืืขื ืืื ืกืขืจืืืคืืงืึทืฅ ืืื TLS / SSL ืงืึทื ืขืงืฉืึทื ื;
- ืื ืคืืืืงืืื ืฆื ืฉืจืืึทืื ืกืงืจืืคึผืก ืืื ืืืึท ืฆื ืฆืืฉืืขืื ืึทืืืึทื ืกืืจืืข ืึทื ืึทืืืกืืก ืืื ืื ืกืืจืืืขื ื ื ืึธื ืงืืืคึผืึทืืืืึทืืื ืฆื ืืืขื ืืืคืืฆืืจื ืืืืคึผืก ืคืื ืคืึทืจืงืขืจ ืคึฟืึทืจ ืืืึธืก ื ืึธืจืืึทื ืึผืืืื ืืขื ืขื ื ืืฉื ืืขื ืื.
ืืงืืจ: opennet.ru