URL: https://www.opennet.me/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 106500
[ Назад ]

Исходное сообщение
"Доступна система обнаружения атак Suricata 3.0"

Отправлено opennews , 28-Янв-16 00:09 
После почти двух лет разработки организация OISF (Open Information Security Foundation) представила (http://suricata-ids.org/2016/01/27/suricata-3-0-available/) релиз системы обнаружения и предотвращения сетевых вторжений Suricata 3.0 (http://suricata-ids.org/), примечательной поддержкой ускорения работы через задействование вычислений на стороне GPU (CUDA и OpenCL). Suricata также поддерживает многопоточность для оптимального задействования мощностей многоядерных систем и имеет развитые средства инспектирования различных видов трафика. В конфигурациях Suricata допустимо задействование базы сигнатур (http://www.snort.org/vrt), развиваемой проектом  Snort, а также наборов правил Emerging Threats (http://rules.emergingthreats.net/) и Emerging Threats Pro (http://rules.emergingthreatspro.com/). Исходные тексты проекта распространяются под лицензией GPLv2.


Из новшеств (https://redmine.openinfosecfoundation.org/versions/80), добавленных в Suricata 3.0, можно отметить:


-  Улучшены средства детектирования атак, в том числе  поддержка xbits (https://redmine.openinfosecfoundation.org/issues/1448) для выявления эксплоитов, передаваемых через несколько потоков, и возможность использования одного сервера для обработки правил выявления атак для нескольких клиентов (multi tenancy).
-  Представлены расширенные средства инспектирования протокола SMTP и добавлена возможность извлечения файлов из почтовых вложений;
-  Поддержка нового метода захвата трафика   NETMAP, актуального для пользователей FreeBSD;
-  Поддержка отбрасывания трафика ICMP (ранее отбрасывание допускалось для TCP и UDP через отправку  RST или ICMP  error);
-  Поддержка сборки в виде исполняемого файла PIE (Position-Independent Executable) для полноценного использования ASLR;

-  Многочисленные улучшения средств для написания скриптов на языке Lua (добавлен доступ к Stream Payloads и TCP quad / Flow Tuple, поддержка обработки вывода на Lua, обработка TLS  и SSL);
-  Поддержка декодирования пакетов MPLS over Ethernet, Modbus, DNS  nxdomain, Cisco erspan;
-  Улучшены компоненты вывода информации, включая модернизацию средств для вывода событий в формате JSON (например, в JSON можно передавать "payload"), поддержку подсветки элементов в выводе и возможность сохранения результатов в БД Redis;
-  Значительно улучшены масштабируемость, производительность, точность и надёжность.


Особенности Suricata:


-  Использование  для вывода результатов проверки унифицированного формата Unified2 (http://searchsecuritychannel.techtarget.com/tip/0,289483,sid97_gci1339679,00.html), также используемого проектом Snort, что позволяет использовать стандартные инструменты для анализа, такие как barnyard2 (http://www.securixlive.com/barnyard2/index.php). Возможность интеграции с продуктами BASE, Snorby, Sguil и SQueRT. Поддержка вывода в формате PCAP;

-   Поддержка автоматического определения протоколов (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и т.п.), позволяющая оперировать в правилах только типом протокола, без привязки к номеру порта (например, блокировать HTTP трафик на нестандартном порту). Наличие декодировщиков для протоколов HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP и SSH;

-  Мощная система анализа HTTP-трафика, использующая для разбора и нормализации HTTP-трафика специальную библиотеку HTP, созданную автором проекта Mod_Security. Доступен модуль для ведения подробного лога транзитных HTTP пересылок, лог сохраняется в стандартном формате
Apache. Поддерживается извлечение и проверка передаваемых по протоколу HTTP файлов. Поддержка разбора сжатого контента. Возможность идентификации по URI, Cookie, заголовкам, user-agent, телу запроса/ответа;


-  Поддержка различных интерфейсов для перехвата трафика, в том числе NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Возможен анализ уже сохранённых файлов в формате PCAP;


-  Высокая производительность, способность обрабатывать на обычном оборудовании потоки до 10 гигабит/cек.


-  Высокопроизводительный механизм сопоставления по маске с большими наборами IP адресов. Поддержка выделение контента по маске и регулярным выражениям. Выделение файлов из трафика, в том числе их идентификация по имени, типу или контрольной сумме MD5.

-  Возможность использования переменных в правилах: можно сохранить информацию из потока и позднее использовать ее в других правилах;

-  Использование формата  YAML в файлах конфигурации, что позволяет сохранить наглядность при легкости машинной обработки;

-  Полная поддержка IPv6;

-  Встроенный движок для автоматической дефрагментации и пересборки пакетов, позволяющий обеспечить корректную обработку потоков, независимо от порядка поступления пакетов;

-  Поддержка протоколов туннелирования: Teredo, IP-IP, IP6-IP4,   IP4-IP6, GRE;

-  Поддержка декодирования пакетов: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;

-  Режим ведения лога ключей и сертификатов, фигурирующих в рамках соединений TLS/SSL;

-  Возможность написания скриптов на языке Lua для обеспечения расширенного анализа и реализации дополнительных возможностей, необходимых для определения видов трафика, для которых не достаточно стандартных правил.


URL: http://suricata-ids.org/2016/01/27/suricata-3-0-available/
Новость: http://www.opennet.me/opennews/art.shtml?num=43773


Содержание

Сообщения в этом обсуждении
"Доступна система обнаружения атак Suricata 3.0"
Отправлено Аноним , 28-Янв-16 01:19 
Прямо суперкомбаин какой-то.

"Доступна система обнаружения атак Suricata 3.0"
Отправлено Аноним , 28-Янв-16 03:31 
нормальная штука чтобы шпионить за юзерами. Теперь и для БСД.

"Доступна система обнаружения атак Suricata 3.0"
Отправлено onlite , 02-Фев-16 11:01 
есть для bsd и ossec-hids
правда там клиент-серверная платформа, а тут по ходу анализирует весь трафик, чем удобнее.

"Доступна система обнаружения атак Suricata 3.0"
Отправлено Аноним , 28-Янв-16 09:14 
Не надо врать, не поддерживает она openCL

"Доступна система обнаружения атак Suricata 3.0"
Отправлено Аноним , 28-Янв-16 13:16 
поставил лениво ради сабжа pfsense последний, пока его там нет, но говорят в RC пакете их pbi'ном уже пашет. Говорят будут реализовать в GUI своем как нативный способ захвата и отброса пакетов, так и  NETMAP реализуют, по выбору.

"Доступна система обнаружения атак Suricata 3.0"
Отправлено kot040188 , 28-Янв-16 14:39 
Атаки суриката…

"Доступна система обнаружения атак Suricata 3.0"
Отправлено Ыеуз , 28-Янв-16 14:47 
искаропки ниработает - через 10 минут после включения сурикаты 2.1.9.1 в pfsence 2.2.6 интернет на локальных компах тухнет напрочЪ.

"Доступна система обнаружения атак Suricata 3.0"
Отправлено Аноним , 29-Янв-16 20:30 
"искаропки" ничего почти в этого рода софте - не работает.
ни fwsnort, ни zorp.
та-же фигня и с аудиторами, к сожалению. даже махровые вещи вроде tripwire - не очень к.