The OpenNET Project / Index page

[ новости/++ | форум | wiki | теги ]

01.12.2016 17:45  Выпуск системы обнаружения атак Suricata 3.2

Организация OISF (Open Information Security Foundation) представила релиз системы обнаружения и предотвращения сетевых вторжений Suricata 3.2, примечательной поддержкой ускорения работы через задействование вычислений на стороне GPU (CUDA и OpenCL). Suricata также поддерживает многопоточность для оптимального задействования мощностей многоядерных систем и имеет развитые средства инспектирования различных видов трафика. В конфигурациях Suricata допустимо задействование базы сигнатур, развиваемой проектом Snort, а также наборов правил Emerging Threats и Emerging Threats Pro. Исходные тексты проекта распространяются под лицензией GPLv2.

Основные новшества Suricata 3.2:

  • Реализована функциональность "bypass", позволяющая существенно увеличить скорость обработки трафика за счёт прекращения инспектирования TCP-потоков, не представляющих интерес с точки зрения анализа на проведение атак (например, трафик по шифрованному каналу связи, хвост сеанса после проверки первых запросов, мультимедийные потоки, трафик от надёжных ресурсов и т.п.);
  • Добавлено ключевое слово prefilter, позволяющее сгруппировать набор правил для выполнения быстрой проверки пакета в рамках одной сводной операцией, вместо индивидуального инспектирования пакета для каждого правила;
  • Добавлена поддержка инспектирования протоколов DNP3 и CIP/ENIP, используемых в автоматизированных системах управления технологическим процессом (SCADA);
  • Улучшена поддержка TLS, добавлена возможность сопоставления по дополнительным полям, таким как срок действия сертификата;
  • В дополнение к MD5 реализована возможность применения хэшей SHA1 и SHA256 для идентификации файлов, отражения в логе и извлечения информации;
  • Включена по умолчанию поддержка управления через unix-сокет;
  • Модернизирована многопоточная модель выполнения, API для работы с логами вынесен в отдельный поток и исключён перезапуск потоков;
  • Оптимизирована работа менеджера потоков;
  • Упрощён процесс добавления ключевых слов;
  • Улучшена работа с памятью в luajit.



Особенности Suricata:

  • Использование для вывода результатов проверки унифицированного формата Unified2, также используемого проектом Snort, что позволяет использовать стандартные инструменты для анализа, такие как barnyard2. Возможность интеграции с продуктами BASE, Snorby, Sguil и SQueRT. Поддержка вывода в формате PCAP;
  • Поддержка автоматического определения протоколов (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и т.п.), позволяющая оперировать в правилах только типом протокола, без привязки к номеру порта (например, блокировать HTTP трафик на нестандартном порту). Наличие декодировщиков для протоколов HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP и SSH;
  • Мощная система анализа HTTP-трафика, использующая для разбора и нормализации HTTP-трафика специальную библиотеку HTP, созданную автором проекта Mod_Security. Доступен модуль для ведения подробного лога транзитных HTTP пересылок, лог сохраняется в стандартном формате Apache. Поддерживается извлечение и проверка передаваемых по протоколу HTTP файлов. Поддержка разбора сжатого контента. Возможность идентификации по URI, Cookie, заголовкам, user-agent, телу запроса/ответа;
  • Поддержка различных интерфейсов для перехвата трафика, в том числе NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Возможен анализ уже сохранённых файлов в формате PCAP;
  • Высокая производительность, способность обрабатывать на обычном оборудовании потоки до 10 гигабит/cек.
  • Высокопроизводительный механизм сопоставления по маске с большими наборами IP адресов. Поддержка выделение контента по маске и регулярным выражениям. Выделение файлов из трафика, в том числе их идентификация по имени, типу или контрольной сумме MD5.
  • Возможность использования переменных в правилах: можно сохранить информацию из потока и позднее использовать ее в других правилах;
  • Использование формата YAML в файлах конфигурации, что позволяет сохранить наглядность при легкости машинной обработки;
  • Полная поддержка IPv6;
  • Встроенный движок для автоматической дефрагментации и пересборки пакетов, позволяющий обеспечить корректную обработку потоков, независимо от порядка поступления пакетов;
  • Поддержка протоколов туннелирования: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
  • Поддержка декодирования пакетов: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
  • Режим ведения лога ключей и сертификатов, фигурирующих в рамках соединений TLS/SSL;
  • Возможность написания скриптов на языке Lua для обеспечения расширенного анализа и реализации дополнительных возможностей, необходимых для определения видов трафика, для которых не достаточно стандартных правил.


  1. Главная ссылка к новости (https://suricata-ids.org/2016/...)
  2. OpenNews: Выпуск системы обнаружения атак Suricata 3.1
  3. OpenNews: Доступна система обнаружения атак Suricata 3.0
  4. OpenNews: Компания Cisco представила Snort 3.0, систему предотвращения атак нового поколения
  5. OpenNews: Релиз Suricata 1.0 - открытой системы по обнаружению атак
  6. OpenNews: Выпуск системы обнаружения атак Snort 2.9.8.0
Лицензия: CC-BY
Тип: Программы
Ключевые слова: suricata
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение Линейный вид | Ajax | Показать все | RSS
 
  • 1.1, rt, 21:02, 01/12/2016 [ответить] [смотреть все]
  • +/
    barnyard2 в стагнации, к сожалению.
     
  • 1.2, Аноним, 21:43, 01/12/2016 [ответить] [смотреть все]
  • –3 +/
    > задействование вычислений на стороне GPU

    Откуда взялся GPU у сервера?!

     
     
  • 2.3, нимус, 22:15, 01/12/2016 [^] [ответить] [смотреть все]
  • +1 +/
    оттуда же, откуда всё остальное.
     
  • 2.6, Аноним, 05:15, 02/12/2016 [^] [ответить] [смотреть все]
  • +4 +/
    Спящий пробудился Не только игорей можно на видеокарте гонять Неожиданно, прав... весь текст скрыт [показать]
     
  • 1.4, Кубер100, 22:16, 01/12/2016 [ответить] [смотреть все]  
  • +/
    не, я на снорте дальше посижу. работает как часы.
     
  • 1.5, Аноним, 00:40, 02/12/2016 [ответить] [смотреть все]  
  • +/
    Сервер без какой-нибудь теслы - прошлый век!
     
  • 1.7, Аноним, 10:58, 02/12/2016 [ответить] [смотреть все]  
  • +1 +/
    дурные правила в этой сурикате снорте , включил пару безобидных галок ддос, ск... весь текст скрыт [показать]
     
     
  • 2.8, Онанимус, 12:15, 02/12/2016 [^] [ответить] [смотреть все]  
  • +3 +/
    > дурные правила в этой сурикате(снорте?), включил пару безобидных галок (ддос, скан портов)
    > - забанила гугловскикие почтовые сервера и сервер удаленки..

    спички детям не игрушка!

     
  • 1.9, ОнанБанан, 18:01, 08/12/2016 [ответить] [смотреть все]  
  • +/
    Белые списки, тем у кого забанило серваки удалёнки, в помощь.
     

     Добавить комментарий
    Имя:
    E-Mail:
    Заголовок:
    Текст:


      Закладки на сайте
      Проследить за страницей
    Created 1996-2017 by Maxim Chirkov  
    ДобавитьРекламаВебмастеруГИД  
    Hosting by Ihor