The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги | ]



"Доступна система обнаружения атак Suricata 4.1 "
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Доступна система обнаружения атак Suricata 4.1 "  +/
Сообщение от opennews (ok), 06-Ноя-18, 20:54 
Организация OISF (Open Information Security Foundation) представила (https://suricata-ids.org/2018/11/06/suricata-4-1-released/) релиз системы обнаружения и предотвращения сетевых вторжений Suricata 4.1 (http://suricata-ids.org/). Suricata обеспечивает ускорения работы через задействование вычислений на стороне GPU (CUDA и OpenCL), поддерживает многопоточность для оптимального задействования мощностей многоядерных систем и имеет развитые средства инспектирования различных видов трафика. В конфигурациях Suricata допустимо задействование базы сигнатур (http://www.snort.org/vrt), развиваемой проектом  Snort, а также наборов правил Emerging Threats (http://rules.emergingthreats.net/) и Emerging Threats Pro (http://rules.emergingthreatspro.com/). Исходные тексты проекта распространяются под лицензией GPLv2.


Основные изменения:


-  Добавлена поддержка разбора и ведения лога для протоколов SMBv1/2/3, NFSv4, Kerberos, DHCP и IKEv2. Для FTP реализована возможнлсть извлечения передаваемых файлов. Для TFTP предложена поддержка ведения лога. Для  ICMPv4 добавлена поддержка отслеживания потока.
Для HTTP добавлена возможность распаковки  Flash-файлов. Код новых модулей инспектирования протоколов реализован на языке Rust;

-  Добавлена поддержка отслеживания соединений и ведения лога для протокола TLS 1.3. Реализована поддержку метода профилирования/идентификации TLS-клиентов JA3 (https://github.com/salesforce/ja3), позволяющего определять какое ПО используется для установки соединения (например, позволяет определить использование Tor и других типовых приложений);

-  Проведена оптимизация кода для обхода обработчиков захвата пакетов, который переписан с использованием подсистемы  XDP (eXpress Data Path), позволяющей в Linux запускать BPF-программы на уровне сетевого драйвера с возможностью прямого доступа к DMA-буферу пакетов и на стадии до выделения буфера skbuff сетевым стеком.  Для пользователей Windows предложен новый режим IPS, основанный на использовании WinDivert;


-  Улучшен код извлечения файлов, в котором появилась поддержка дедупликации, именования файлов на основе хэша и сохранения метаданных в формате json. Добавлен инструментарий для чистки архива извлечённых файлов;

-  В EVE JSON, обеспечивающий вывод событий в формате JSON, добавлена поддержка определения метаданных через ключевое слово  metadata в правилах и возможность получения информации о трафике через плагин flowbits. Для DNS-записей реализован новый более компактный формат;
-  Добавлена возможность разом обработать все pcap-файлы в заданном каталоге. Добавлен режим сохранения PCAP-логов в сжатом виде;

-  Расширена поддержка заголовка XFF (X-Forwarded-For);
-  Добавлена поддержка  Community Flow Id - единых идентификаторов для Suricata и Bro/Zeek;

-  Так как новые модули поддержки протоколов написаны на Rust, при сборке  Suricata в число включённых по умолчанию зависимостей добавлен компилятор Rust.

-  В состав включено приложение для обновления правил - Suricata-Update 1.0.


Особенности Suricata:


-  Использование  для вывода результатов проверки унифицированного формата Unified2 (http://searchsecuritychannel.techtarget.com/tip/0,289483,sid...), также используемого проектом Snort, что позволяет использовать стандартные инструменты для анализа, такие как barnyard2 (http://www.securixlive.com/barnyard2/index.php). Возможность интеграции с продуктами BASE, Snorby, Sguil и SQueRT. Поддержка вывода в формате PCAP;

-   Поддержка автоматического определения протоколов (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и т.п.), позволяющая оперировать в правилах только типом протокола, без привязки к номеру порта (например, блокировать HTTP трафик на нестандартном порту). Наличие декодировщиков для протоколов HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP и SSH;

-  Мощная система анализа HTTP-трафика, использующая для разбора и нормализации HTTP-трафика специальную библиотеку HTP, созданную автором проекта Mod_Security. Доступен модуль для ведения подробного лога транзитных HTTP пересылок, лог сохраняется в стандартном формате
Apache. Поддерживается извлечение и проверка передаваемых по протоколу HTTP файлов. Поддержка разбора сжатого контента. Возможность идентификации по URI, Cookie, заголовкам, user-agent, телу запроса/ответа;


-  Поддержка различных интерфейсов для перехвата трафика, в том числе NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Возможен анализ уже сохранённых файлов в формате PCAP;


-  Высокая производительность, способность обрабатывать на обычном оборудовании потоки до 10 гигабит/cек.


-  Высокопроизводительный механизм сопоставления по маске с большими наборами IP адресов. Поддержка выделение контента по маске и регулярным выражениям. Выделение файлов из трафика, в том числе их идентификация по имени, типу или контрольной сумме MD5.

-  Возможность использования переменных в правилах: можно сохранить информацию из потока и позднее использовать ее в других правилах;

-  Использование формата  YAML в файлах конфигурации, что позволяет сохранить наглядность при легкости машинной обработки;

-  Полная поддержка IPv6;

-  Встроенный движок для автоматической дефрагментации и пересборки пакетов, позволяющий обеспечить корректную обработку потоков, независимо от порядка поступления пакетов;

-  Поддержка протоколов туннелирования: Teredo, IP-IP, IP6-IP4,   IP4-IP6, GRE;

-  Поддержка декодирования пакетов: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;

-  Режим ведения лога ключей и сертификатов, фигурирующих в рамках соединений TLS/SSL;

-  Возможность написания скриптов на языке Lua для обеспечения расширенного анализа и реализации дополнительных возможностей, необходимых для определения видов трафика, для которых не достаточно стандартных правил.

URL: https://suricata-ids.org/2018/11/06/suricata-4-1-released/
Новость: https://www.opennet.ru/opennews/art.shtml?num=49566

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Доступна система обнаружения атак Suricata 4.1 "  +/
Сообщение от Fracta1L (ok), 06-Ноя-18, 20:54 
А в чём суть этой проги, что она делает?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

3. "Доступна система обнаружения атак Suricata 4.1 "  +/
Сообщение от Аноним (3), 06-Ноя-18, 21:29 
Система для обнаружения и предотвращения вторжений. Аналог snort.
Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

6. "Доступна система обнаружения атак Suricata 4.1 "  +13 +/
Сообщение от Аноним (6), 06-Ноя-18, 21:47 
Обнаруживает атаки сурикатов
Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

4. "Доступна система обнаружения атак Suricata 4.1 "  +/
Сообщение от DKG (?), 06-Ноя-18, 21:31 
Лучше использоват в Pfsense, например.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

5. "Доступна система обнаружения атак Suricata 4.1 "  +/
Сообщение от suricatamaster (?), 06-Ноя-18, 21:44 
суриката может и с пфсенсом, но это разные вещи.
Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

8. "Доступна система обнаружения атак Suricata 4.1 "  +/
Сообщение от Аноним (8), 07-Ноя-18, 10:57 
https://github.com/Snorby/snorby
Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

7. "Доступна система обнаружения атак Suricata 4.1 "  +/
Сообщение от Аноним (7), 07-Ноя-18, 10:28 
А что такого нужно вычислять IDS, чтобы ей запонадобился OpenCL? Хеши подбирает что-ли?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

9. "Доступна система обнаружения атак Suricata 4.1 "  +1 +/
Сообщение от Аноним (9), 07-Ноя-18, 11:47 
Представь, что у тебя хотя бы гигабит трафика проходит, его нужно прогнать через десятки тысяч правил, дефрагментировать, записать логи на диск. Задача ресурсоёмкая.
А теперь представь если у тебя трафика 10 гигабит или 40.
Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

10. "ой"  +/
Сообщение от твой лучший друг (?), 07-Ноя-18, 15:53 

https://github.com/OISF/suricata/pull/3130/commits/746638b22...
Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

11. "Доступна система обнаружения атак Suricata 4.1 "  +1 +/
Сообщение от AS (??), 07-Ноя-18, 21:43 
>> задействование вычислений на стороне GPU (CUDA и OpenCL)

вот теперь и доказывай тёткам из бухгалтерии, что в сервер таки нужна игровая ведяха..

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

12. "Доступна система обнаружения атак Suricata 4.1 "  +/
Сообщение от твой лучший друг (?), 07-Ноя-18, 22:55 
Да нет в сурикате этого, и не было толком никогда.
Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

13. "Доступна система обнаружения атак Suricata 4.1 "  +/
Сообщение от AS (??), 08-Ноя-18, 19:08 
единственное, чего небыло и нет, так это соотв. интерфейсов для видях в моих прошных серверах.
про остальное я прочитал и читать, получается я умею..
Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

15. "Доступна система обнаружения атак Suricata 4.1 "  +/
Сообщение от mistiqemail (?), 14-Ноя-18, 06:50 
Охлол. У вас тетки из бухгалтерии принимают решение о закупке IT инфраструктуры? Кому-то срочно надо менять работу.
Ответить | Правка | ^ к родителю #11 | Наверх | Cообщить модератору

14. "Доступна система обнаружения атак Suricata 4.1 "  +/
Сообщение от твой лучший друг (?), 12-Ноя-18, 16:14 
> Suricata обеспечивает ускорения работы через задействование вычислений на стороне GPU
> (CUDA и OpenCL)

не обеспечивает. Удалял этот пассаж я.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема


  Закладки на сайте
  Проследить за страницей
Created 1996-2018 by Maxim Chirkov  
ДобавитьПоддержатьВебмастеруГИД  
Hosting by Ihor