The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Релиз системы обнаружения атак Suricata 2.0

25.03.2014 18:34

Организация OISF (Open Information Security Foundation) представила релиз системы обнаружения и предотвращения сетевых вторжений Suricata 2.0. Система отличается поддержкой ускорения работы через задействование вычислений на стороне GPU (CUDA и OpenCL), поддерживает многопоточность для оптимального задействования мощностей многоядерных систем и имеет развитые средства инспектирования различных видов трафика. В конфигурациях Suricata допустимо задействование базы сигнатур, развиваемой проектом Snort, а также наборов правил Emerging Threats и Emerging Threats Pro. Исходные тексты проекта распространяются под лицензией GPLv2.

Из новшеств, добавленных в Suricata 2.0, можно отметить:

  • Реализован Eve log, позволяющий сформировать вывод событий в формате JSON для предупреждений, HTTP, DNS, SSH, TLS и файлов. Поддержка JSON существенно упрощает интеграцию Suricata со сторонними приложениями, такими как системы мониторинга. В качестве примера приводится интеграция с системой визуализации логов Kibana;
  • Режим работы NSM (Network security monitor), при котором не активен движок определения атак. Режим применяется для мониторинга и ведения лога, отражающего запросы HTTP, DNS и т.п.
  • Добавлен парсер DNS и модуль ведения логов DNS;
  • Добавлена опция для включения/выключения отдельных модулей инспектирования протоколов уровня приложений;
  • Поддержка включения файлов в формате Yaml;
  • В модуле Unified2 добавлена поддержка XFF (X-Forwarded-For);
  • Возможность вывода лога http.log в формате, идентичном логу http-сервера Apache;
  • Поддержка VLAN flow и VLAN defrag. Обеспечение обработки QinQ VLAN;
  • Добавлен счётчик некорректных пакетов;
  • Поддержка libhtp 0.5.x;
  • Поддержка сжатия Deflate для тела ответов HTTP;
  • Добавлен API для работы с хранилищем;
  • В системе профилирования обеспечен вывод статистики по отдельным ключевым словам;
  • Существенно увеличена масштабируемость системы;
  • Улучшение поддержки AF_PACKET и PF_RING;
  • Улучшение обработки ICMPv6.

Особенности Suricata:

  • Использование для вывода результатов проверки унифицированного формата Unified2, также используемого проектом Snort, что позволяет использовать стандартные инструменты для анализа, такие как barnyard2. Возможность интеграции с продуктами BASE, Snorby, Sguil и SQueRT. Поддержка вывода в формате PCAP;
  • Поддержка автоматического определения протоколов (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и т.п.), позволяющая оперировать в правилах только типом протокола, без привязки к номеру порта (например, блокировать HTTP трафик на нестандартном порту). Наличие декодировщиков для протоколов HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP и SSH;
  • Мощная система анализа HTTP-трафика, использующая для разбора и нормализации HTTP-трафика специальную библиотеку HTP, созданную автором проекта Mod_Security. Доступен модуль для ведения подробного лога транзитных HTTP пересылок, лог сохраняется в стандартном формате Apache. Поддерживается извлечение и проверка передаваемых по протоколу HTTP файлов. Поддержка разбора сжатого контента. Возможность идентификации по URI, Cookie, заголовкам, user-agent, телу запроса/ответа;
  • Поддержка различных интерфейсов для перехвата трафика, в том числе NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Возможен анализ уже сохранённых файлов в формате PCAP;
  • Высокая производительность, способность обрабатывать на обычном оборудовании потоки до 10 гигабит/cек.
  • Высокопроизводительный механизм сопоставления по маске с большими наборами IP адресов. Поддержка выделение контента по маске и регулярным выражениям. Выделение файлов из трафика, в том числе их идентификация по имени, типу или контрольной сумме MD5.
  • Возможность использования переменных в правилах: можно сохранить информацию из потока и позднее использовать ее в других правилах;
  • Использование формата YAML в файлах конфигурации, что позволяет сохранить наглядность при легкости машинной обработки;
  • Полная поддержка IPv6;
  • Встроенный движок для автоматической дефрагментации и пересборки пакетов, позволяющий обеспечить корректную обработку потоков, независимо от порядка поступления пакетов;
  • Поддержка протоколов туннелирования: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
  • Поддержка декодирования пакетов: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
  • Режим ведения лога ключей и сертификатов, фигурирующих в рамках соединений TLS/SSL;
  • Возможность написания скриптов на языке Lua для обеспечения расширенного анализа и реализации дополнительных возможностей, необходимых для определения видов трафика, для которых не достаточно стандартных правил.


  1. Главная ссылка к новости (http://suricata-ids.org/2014/0...)
  2. OpenNews: Релиз системы обнаружения атак Snort 2.9.6.0
  3. OpenNews: Релиз Sagan 0.2, системы мониторинга событий информационной безопасности
  4. OpenNews: Представлен SmoothSec 3.2, дистрибутив для быстрого развёртывания IDS/IPS
Лицензия: CC-BY
Тип: Программы
Ключевые слова: suricata, ids
При перепечатке указание ссылки на opennet.ru обязательно
Обсуждение (11) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
 
  • 2.4, Аноним (-), 22:24, 25/03/2014 [ответить]  
  • +/
    Закрытая проприертарная блобинка отныне.
     
     
  • 3.11, Аноним (-), 08:07, 26/03/2014 [^] [^^] [^^^] [ответить]  
  • +/
    Внимательно новость читал?

    > Исходные тексты проекта распространяются под лицензией GPLv2.

     
  • 1.6, Аноним (-), 22:30, 25/03/2014 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Надо поюзать, что за зверь этот Suricata.
     
     
  • 2.12, Аноним (-), 08:09, 26/03/2014 [^] [^^] [^^^] [ответить]  
  • +/
    > Надо поюзать, что за зверь этот Suricata.

    Для начала возьми Smooth-Sec.

     

  • 1.7, Аноним (-), 22:40, 25/03/2014 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    А вот есть ли хоть что-нибудь, что позволяет из коробки детектировать/блокировать TeamViewer?
     
     
  • 2.8, vlikhachev (ok), 23:02, 25/03/2014 [^] [^^] [^^^] [ответить]  
  • +/
    > А вот есть ли хоть что-нибудь, что позволяет из коробки детектировать/блокировать TeamViewer?

    Любой дистрибутив Linux, если голова и руки - из коробки.
    Иначе нанять человека с головой и руками, и будет Вам благо...

     
  • 2.9, Анонимов (?), 23:14, 25/03/2014 [^] [^^] [^^^] [ответить]  
  • +/
    Весь трафик к/от хостов из *.teamviewer.com обрубите и все ок будет.
     
  • 2.13, Alexander (??), 10:04, 26/03/2014 [^] [^^] [^^^] [ответить]  
  • +/
    А точнее к/от .*master.*.teamviewer.com и .*server.*.teamviewer.com, остальное можно оставить.
     
  • 2.15, Andrew Kolchoogin (ok), 18:47, 26/03/2014 [^] [^^] [^^^] [ответить]  
  • +/
    Windows?

    Групповая политика в AD, запрещающая запускать все неподписанные исполняемые файлы и файл teamviewer.exe, подписанный GFI-ным ключом.

    Linux?

    SELinux Policy, запрещающая запускать файлы из любых директорий, кроме trusted hierarchy.

     

  • 1.14, kay (ok), 10:26, 26/03/2014 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > Существенно увеличена масштабируемость системы;

    Вот побольше бы информации на эту тему.

     
  • 1.16, Аноним (-), 23:15, 30/03/2014 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    > способность обрабатывать на обычном оборудовании потоки до 10 гигабит/cек

    что есть "обычное оборудование" с точки зрения сурикатоводов?

     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Спонсоры:
    Слёрм
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2020 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру