The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Доступна система обнаружения атак Suricata 5.0

16.10.2019 11:29

Организация OISF (Open Information Security Foundation) опубликовала релиз системы обнаружения и предотвращения сетевых вторжений Suricata 5.0, которая предоставляет средства инспектирования различных видов трафика. В конфигурациях Suricata допустимо задействование базы сигнатур, развиваемой проектом Snort, а также наборов правил Emerging Threats и Emerging Threats Pro. Исходные тексты проекта распространяются под лицензией GPLv2.

Основные изменения:

  • Представлены новые модули разбора и ведения лога для протоколов RDP, SNMP и SIP, написанные на языке Rust. В модуль для разбора FTP добавлена возможность ведения лога через подсистему EVE, обеспечивающую вывод событий в формате JSON;
  • В дополнение к появившейся в прошлом выпуске поддержке метода идентификации TLS-клиентов JA3 добавлена поддержка метода JA3S, позволяющего на основе особенностей согласования соединений и задаваемых параметров определять какое ПО используется для установки соединения (например, позволяет определить использование Tor и других типовых приложений). JA3 даёт возможность определять клиентов, а JA3S - серверы. Результаты определения можно использовать в языке задания правил и в логах;
  • Добавлена экспериментальная возможность сопоставления с выборкой из больших наборов данных, реализуемая при помощи новых операций dataset и datarep. Например, возможность применима для поиска масок в больших чёрных списках, насчитывающих миллионы записей;
  • В режиме инспектирования HTTP обеспечено полное покрытие всех ситуаций, описанных в тестовым наборе HTTP Evader (например, охватывает методы, применяемые для скрытия в трафике вредоносной активности);
  • Средства разработки модулей на языке Rust переведены из опций в разряд обязательных штатных возможностей. В дальнейшем планируется расширение применения Rust в кодовой базе проекта и постепенная замена модулей на аналоги, разработанные на Rust;
  • Движок определения протоколов улучшен в области повышения точности и обработки асинхронных потоков трафика;
  • В EVE-лог добавлена поддержка нового типа записей "anomaly", в которых сохраняются нетипичные события, выявляемые при декодировании пакетов. В EVE также расширено отражение информации о VLAN и интерфейсах захвата трафика. Добавлена опция для сохранения всех HTTP-заголовков в http-записях лога EVE;
  • В обработчиках на базе eBPF обеспечена поддержка аппаратных механизмов ускорения захвата пакетов. Аппаратное ускорение пока ограничено сетевыми адаптерами Netronome, но скоро появится и для другого оборудования;
  • Переписан код для захвата трафика при помощи фреймворка Netmap. Добавлена возможность использования расширенных возможностей Netmap, таких как виртуальный коммутатор VALE;
  • Добавлена поддержка новой схемы определения ключевых слов для "липких буферов" (Sticky Buffers). Новая схема определена в формате "протокол.буфер", например, для инроспектирования URI ключевое слово примет вид "http.uri" вместо "http_uri";
  • Весь используемый Python код проверен на совместимость с Python 3;
  • Прекращена поддержка архитектуры Tilera, текстового лога dns.log и старого лога files-json.log.



Особенности Suricata:

  • Использование для вывода результатов проверки унифицированного формата Unified2, также используемого проектом Snort, что позволяет использовать стандартные инструменты для анализа, такие как barnyard2. Возможность интеграции с продуктами BASE, Snorby, Sguil и SQueRT. Поддержка вывода в формате PCAP;
  • Поддержка автоматического определения протоколов (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и т.п.), позволяющая оперировать в правилах только типом протокола, без привязки к номеру порта (например, блокировать HTTP трафик на нестандартном порту). Наличие декодировщиков для протоколов HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP и SSH;
  • Мощная система анализа HTTP-трафика, использующая для разбора и нормализации HTTP-трафика специальную библиотеку HTP, созданную автором проекта Mod_Security. Доступен модуль для ведения подробного лога транзитных HTTP пересылок, лог сохраняется в стандартном формате Apache. Поддерживается извлечение и проверка передаваемых по протоколу HTTP файлов. Поддержка разбора сжатого контента. Возможность идентификации по URI, Cookie, заголовкам, user-agent, телу запроса/ответа;
  • Поддержка различных интерфейсов для перехвата трафика, в том числе NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Возможен анализ уже сохранённых файлов в формате PCAP;
  • Высокая производительность, способность обрабатывать на обычном оборудовании потоки до 10 гигабит/cек.
  • Высокопроизводительный механизм сопоставления по маске с большими наборами IP адресов. Поддержка выделение контента по маске и регулярным выражениям. Выделение файлов из трафика, в том числе их идентификация по имени, типу или контрольной сумме MD5.
  • Возможность использования переменных в правилах: можно сохранить информацию из потока и позднее использовать ее в других правилах;
  • Использование формата YAML в файлах конфигурации, что позволяет сохранить наглядность при легкости машинной обработки;
  • Полная поддержка IPv6;
  • Встроенный движок для автоматической дефрагментации и пересборки пакетов, позволяющий обеспечить корректную обработку потоков, независимо от порядка поступления пакетов;
  • Поддержка протоколов туннелирования: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
  • Поддержка декодирования пакетов: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
  • Режим ведения лога ключей и сертификатов, фигурирующих в рамках соединений TLS/SSL;
  • Возможность написания скриптов на языке Lua для обеспечения расширенного анализа и реализации дополнительных возможностей, необходимых для определения видов трафика, для которых не достаточно стандартных правил.


  1. Главная ссылка к новости (https://suricata-ids.org/2019/...)
  2. OpenNews: Доступна система обнаружения атак Suricata 4.1
  3. OpenNews: Выпуск анализатора трафика Zeek 3.0.0
  4. OpenNews: Релиз Sagan 0.2, системы мониторинга событий информационной безопасности
  5. OpenNews: Система обнаружения атак Snort 3 перешла на стадию бета-тестирования
  6. OpenNews: Релиз системы обнаружения атак Snort 2.9.15.0
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/51686-suricata
Ключевые слова: suricata, ids
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (11) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Аноним (1), 12:18, 16/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Если её запустить, можно узнать много интереного о тех, кто к тебе подключается. Ещё бы как-нибудь визуализировать это, копаться в логах довольно утомительно. Впрочем, удивительное можно увидить и в dmesg, если ядро в sysctl нормально настроить.

    Так что, если у вас есть публичный айпи, можете поразвлекаться, наблюдая всякие атаки (false-positive тоже случались правда).

     
     
  • 2.2, Аноним (2), 12:54, 16/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    ELK/graylog в помощь.
     
  • 2.3, novic_dev (ok), 12:54, 16/10/2019 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Про визуализировать - "Возможность интеграции с продуктами Sguil и SQueRT"
     
  • 2.4, little Bobby tables (?), 14:14, 16/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    >если у вас есть публичный айпи

    и спанпорт в рутере.

     

  • 1.5, pda (?), 15:59, 16/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    > постепенная замена модулей на аналоги, разработанные на Rust

    Язычок для хипстеров, говорили они. Никем не используется, говорили они... ;-)

     
     
  • 2.7, user90 (?), 19:00, 16/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Дык тут ключевое слово "переписывать". Если судить по новостям Опеннета, расто-хипстеры только этим и занимаются.
     
  • 2.8, fapenergi (?), 19:50, 16/10/2019 [^] [^^] [^^^] [ответить]  
  • –1 +/
    Зачем вообще было выкладывать это в открытый доступ, ведь нормально седели разговаривали!
     
     
  • 3.14, Аноним (14), 10:57, 17/10/2019 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > ведь нормально седели разговаривали!

    Нормально становились седыми? От разговоров? От страшных разговоров или от длинных (до седин) разговоров?

     
     
  • 4.15, ыы (?), 16:12, 17/10/2019 [^] [^^] [^^^] [ответить]  
  • +/
    "Хорошо сделанная работа не заменит полезной беседы" (с)
     

  • 1.13, Ваще аноним (?), 22:55, 16/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    а к netwlow(точнее к nfseen) это кто нибудь прикручивал?
     
  • 1.16, Аноним (16), 20:33, 18/10/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Что это за сурикат и почему его атаки так всех беспокоят?
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру