The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

форумы  помощь  поиск  регистрация  вход/выход  слежка  RSS
"Выпуск системы обнаружения атак Suricata 3.2"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Выпуск системы обнаружения атак Suricata 3.2"  +/
Сообщение от opennews (??) on 01-Дек-16, 21:02 
Организация OISF (Open Information Security Foundation) представила (https://suricata-ids.org/2016/12/01/suricata-3-2-available/) релиз системы обнаружения и предотвращения сетевых вторжений Suricata 3.2 (http://suricata-ids.org/), примечательной поддержкой ускорения работы через задействование вычислений на стороне GPU (CUDA и OpenCL). Suricata также поддерживает многопоточность для оптимального задействования мощностей многоядерных систем и имеет развитые средства инспектирования различных видов трафика. В конфигурациях Suricata допустимо задействование базы сигнатур (http://www.snort.org/vrt), развиваемой проектом  Snort, а также наборов правил Emerging Threats (http://rules.emergingthreats.net/) и Emerging Threats Pro (http://rules.emergingthreatspro.com/). Исходные тексты проекта распространяются под лицензией GPLv2.


Основные новшества (https://redmine.openinfosecfoundation.org/versions/86) Suricata 3.2:

-  Реализована (https://www.stamus-networks.com/2016/09/28/suricata-bypass-f.../) функциональность "bypass", позволяющая существенно увеличить скорость обработки трафика за счёт прекращения инспектирования TCP-потоков, не представляющих интерес с точки зрения анализа на проведение атак (например, трафик по шифрованному каналу связи, хвост сеанса после проверки первых запросов, мультимедийные потоки, трафик от надёжных ресурсов и т.п.);

-  Добавлено ключевое слово prefilter (http://jasonish-suricata.readthedocs.io/en/latest/rules/pref...), позволяющее сгруппировать набор правил для выполнения быстрой проверки пакета в рамках одной сводной операцией, вместо индивидуального инспектирования пакета для каждого правила;
-  Добавлена поддержка инспектирования протоколов  DNP3 (https://ru.wikipedia.org/wiki/DNP3) и CIP (https://en.wikipedia.org/wiki/Common_Industrial_Protocol)/ENIP (https://en.wikipedia.org/wiki/EtherNet/IP), используемых в автоматизированных системах управления технологическим процессом (SCADA);
-  Улучшена поддержка TLS, добавлена возможность сопоставления по дополнительным полям, таким как срок действия сертификата;
-  В дополнение к MD5 реализована возможность применения хэшей SHA1 и SHA256 для идентификации файлов, отражения в логе и извлечения информации;
-  Включена по умолчанию поддержка управления через unix-сокет;
-  Модернизирована многопоточная модель выполнения, API для работы с логами вынесен в отдельный поток и исключён перезапуск потоков;
-  Оптимизирована работа менедежра потоков;
-  Упрощён процесс добавления ключевых слов;
-  Улучшена работа с памятью в luajit.

Особенности Suricata:


-  Использование  для вывода результатов проверки унифицированного формата Unified2 (http://searchsecuritychannel.techtarget.com/tip/0,289483,sid...), также используемого проектом Snort, что позволяет использовать стандартные инструменты для анализа, такие как barnyard2 (http://www.securixlive.com/barnyard2/index.php). Возможность интеграции с продуктами BASE, Snorby, Sguil и SQueRT. Поддержка вывода в формате PCAP;

-   Поддержка автоматического определения протоколов (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и т.п.), позволяющая оперировать в правилах только типом протокола, без привязки к номеру порта (например, блокировать HTTP трафик на нестандартном порту). Наличие декодировщиков для протоколов HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP и SSH;

-  Мощная система анализа HTTP-трафика, использующая для разбора и нормализации HTTP-трафика специальную библиотеку HTP, созданную автором проекта Mod_Security. Доступен модуль для ведения подробного лога транзитных HTTP пересылок, лог сохраняется в стандартном формате
Apache. Поддерживается извлечение и проверка передаваемых по протоколу HTTP файлов. Поддержка разбора сжатого контента. Возможность идентификации по URI, Cookie, заголовкам, user-agent, телу запроса/ответа;


-  Поддержка различных интерфейсов для перехвата трафика, в том числе NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Возможен анализ уже сохранённых файлов в формате PCAP;


-  Высокая производительность, способность обрабатывать на обычном оборудовании потоки до 10 гигабит/cек.


-  Высокопроизводительный механизм сопоставления по маске с большими наборами IP адресов. Поддержка выделение контента по маске и регулярным выражениям. Выделение файлов из трафика, в том числе их идентификация по имени, типу или контрольной сумме MD5.

-  Возможность использования переменных в правилах: можно сохранить информацию из потока и позднее использовать ее в других правилах;

-  Использование формата  YAML в файлах конфигурации, что позволяет сохранить наглядность при легкости машинной обработки;

-  Полная поддержка IPv6;

-  Встроенный движок для автоматической дефрагментации и пересборки пакетов, позволяющий обеспечить корректную обработку потоков, независимо от порядка поступления пакетов;

-  Поддержка протоколов туннелирования: Teredo, IP-IP, IP6-IP4,   IP4-IP6, GRE;

-  Поддержка декодирования пакетов: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;

-  Режим ведения лога ключей и сертификатов, фигурирующих в рамках соединений TLS/SSL;

-  Возможность написания скриптов на языке Lua для обеспечения расширенного анализа и реализации дополнительных возможностей, необходимых для определения видов трафика, для которых не достаточно стандартных правил.


URL: https://suricata-ids.org/2016/12/01/suricata-3-2-available/
Новость: https://www.opennet.ru/opennews/art.shtml?num=45599

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Выпуск системы обнаружения атак Suricata 3.2"  +/
Сообщение от rt (??) on 01-Дек-16, 21:02 
barnyard2 в стагнации, к сожалению.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

2. "Выпуск системы обнаружения атак Suricata 3.2"  –3 +/
Сообщение от Аноним (??) on 01-Дек-16, 21:43 
> задействование вычислений на стороне GPU

Откуда взялся GPU у сервера?!

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

3. "Выпуск системы обнаружения атак Suricata 3.2"  +1 +/
Сообщение от нимус on 01-Дек-16, 22:15 
оттуда же, откуда всё остальное.
Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

6. "Выпуск системы обнаружения атак Suricata 3.2"  +4 +/
Сообщение от Аноним (??) on 02-Дек-16, 05:15 
Спящий пробудился.

Не только игорей можно на видеокарте гонять. Неожиданно, правда?

Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

4. "Выпуск системы обнаружения атак Suricata 3.2"  +/
Сообщение от Кубер100 on 01-Дек-16, 22:16 
не, я на снорте дальше посижу. работает как часы.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

5. "Выпуск системы обнаружения атак Suricata 3.2"  +/
Сообщение от Аноним (??) on 02-Дек-16, 00:40 
Сервер без какой-нибудь теслы - прошлый век!
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

7. "Выпуск системы обнаружения атак Suricata 3.2"  +1 +/
Сообщение от Аноним (??) on 02-Дек-16, 10:58 
дурные правила в этой сурикате(снорте?), включил пару безобидных галок (ддос, скан портов) - забанила гугловскикие почтовые сервера и сервер удаленки..
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

8. "Выпуск системы обнаружения атак Suricata 3.2"  +3 +/
Сообщение от Онанимус on 02-Дек-16, 12:15 
> дурные правила в этой сурикате(снорте?), включил пару безобидных галок (ддос, скан портов)
> - забанила гугловскикие почтовые сервера и сервер удаленки..

спички детям не игрушка!

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

9. "Выпуск системы обнаружения атак Suricata 3.2"  +/
Сообщение от ОнанБанан email on 08-Дек-16, 18:01 
Белые списки, тем у кого забанило серваки удалёнки, в помощь.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Спонсоры:
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2020 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру