Викиновости

Выпуск системы обнаружения атак Suricata 3.2

1 декабря 2016 года

Организация OISF (Open Information Security Foundation) представила релиз системы обнаружения и предотвращения сетевых вторжений Suricata 3.2, примечательной поддержкой ускорения работы через задействование вычислений на стороне GPU (CUDA и OpenCL). Suricata также поддерживает многопоточность для оптимального задействования мощностей многоядерных систем и имеет развитые средства инспектирования различных видов трафика. В конфигурациях Suricata допустимо задействование базы сигнатур, развиваемой проектом Snort, а также наборов правил Emerging Threats и Emerging Threats Pro. Исходные тексты проекта распространяются под лицензией GPLv2.

Основные новшества Suricata 3.2:

  • Реализована функциональность "bypass", позволяющая существенно увеличить скорость обработки трафика за счёт прекращения инспектирования TCP-потоков, не представляющих интерес с точки зрения анализа на проведение атак (например, трафик по шифрованному каналу связи, хвост сеанса после проверки первых запросов, мультимедийные потоки, трафик от надёжных ресурсов и т.п.);
  • Добавлено ключевое слово prefilter (Архивная копия от 17 октября 2016 на Wayback Machine), позволяющее сгруппировать набор правил для выполнения быстрой проверки пакета в рамках одной сводной операцией, вместо индивидуального инспектирования пакета для каждого правила;
  • Добавлена поддержка инспектирования протоколов DNP3 и CIP/ ENIP, используемых в автоматизированных системах управления технологическим процессом (SCADA);
  • Улучшена поддержка TLS, добавлена возможность сопоставления по дополнительным полям, таким как срок действия сертификата;
  • В дополнение к MD5 реализована возможность применения хэшей SHA1 и SHA256 для идентификации файлов, отражения в логе и извлечения информации;
  • Включена по умолчанию поддержка управления через unix-сокет;
  • Модернизирована многопоточная модель выполнения, API для работы с логами вынесен в отдельный поток и исключён перезапуск потоков;
  • Оптимизирована работа менеджера потоков;
  • Упрощён процесс добавления ключевых слов;
  • Улучшена работа с памятью в luajit.

Особенности Suricata:

  • Использование для вывода результатов проверки унифицированного формата Unified2 (Архивная копия от 8 августа 2010 на Wayback Machine), также используемого проектом Snort, что позволяет использовать стандартные инструменты для анализа, такие как barnyard2. Возможность интеграции с продуктами BASE, Snorby, Sguil и SQueRT. Поддержка вывода в формате PCAP;
  • Поддержка автоматического определения протоколов (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и т.п.), позволяющая оперировать в правилах только типом протокола, без привязки к номеру порта (например, блокировать HTTP трафик на нестандартном порту). Наличие декодировщиков для протоколов HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP и SSH;
  • Мощная система анализа HTTP-трафика, использующая для разбора и нормализации HTTP-трафика специальную библиотеку HTP, созданную автором проекта Mod_Security. Доступен модуль для ведения подробного лога транзитных HTTP пересылок, лог сохраняется в стандартном формате

Apache. Поддерживается извлечение и проверка передаваемых по протоколу HTTP файлов. Поддержка разбора сжатого контента. Возможность идентификации по URI, Cookie, заголовкам, user-agent, телу запроса/ответа;

  • Поддержка различных интерфейсов для перехвата трафика, в том числе NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Возможен анализ уже сохранённых файлов в формате PCAP;
  • Высокая производительность, способность обрабатывать на обычном оборудовании потоки до 10 гигабит/cек.
  • Высокопроизводительный механизм сопоставления по маске с большими наборами IP адресов. Поддержка выделение контента по маске и регулярным выражениям. Выделение файлов из трафика, в том числе их идентификация по имени, типу или контрольной сумме MD5.
  • Возможность использования переменных в правилах: можно сохранить информацию из потока и позднее использовать ее в других правилах;
  • Использование формата YAML в файлах конфигурации, что позволяет сохранить наглядность при легкости машинной обработки;
  • Полная поддержка IPv6;
  • Встроенный движок для автоматической дефрагментации и пересборки пакетов, позволяющий обеспечить корректную обработку потоков, независимо от порядка поступления пакетов;
  • Поддержка протоколов туннелирования: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
  • Поддержка декодирования пакетов: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
  • Режим ведения лога ключей и сертификатов, фигурирующих в рамках соединений TLS/SSL;
  • Возможность написания скриптов на языке Lua для обеспечения расширенного анализа и реализации дополнительных возможностей, необходимых для определения видов трафика, для которых не достаточно стандартных правил.

Источники править


 
 
Creative Commons
Эта статья содержит материалы из статьи «Выпуск системы обнаружения атак Suricata 3.2», опубликованной OpenNET и распространяющейся на условиях лицензии Creative Commons Attribution (CC BY) — указание автора, источник и лицензию.
 
Эта статья загружена автоматически ботом NewsBots в архив и ещё не проверялась редакторами Викиновостей.
Любой участник может оформить статью: добавить иллюстрации, викифицировать, заполнить шаблоны и добавить категории.
Любой редактор может снять этот шаблон после оформления и проверки.

Комментарии

Викиновости и Wikimedia Foundation не несут ответственности за любые материалы и точки зрения, находящиеся на странице и в разделе комментариев.



Источник — https://ru.wikinews.org/w/index.php?title=Выпуск_системы_обнаружения_атак_Suricata_3.2&oldid=16624208