The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Релиз системы обнаружения атак Suricata 1.4"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Релиз системы обнаружения атак Suricata 1.4"  +/
Сообщение от opennews (??) on 14-Дек-12, 13:24 
Организация OISF (Open Information Security Foundation) представила (http://www.openinfosecfoundation.org/index.php/component/con...) релиз системы обнаружения и предотвращения сетевых вторжений Suricata 1.4 (http://suricata-ids.org/). Система отличается поддержкой ускорения работы через задействование вычислений на стороне GPU (CUDA и OpenCL), поддерживает многопоточность для оптимального задействования мощностей многоядерных систем и имеет развитые средства инспектирования различных видов трафика. В конфигурациях Suricata допустимо задействование базы сигнатур (http://www.snort.org/vrt), развиваемой проектом  Snort, а также наборов правил Emerging Threats (http://rules.emergingthreats.net/) и Emerging Threats Pro (http://rules.emergingthreatspro.com/). Исходные тексты проекта распространяются под лицензией GPLv2.


Из новшеств, добавленных в Suricata 1.4, можно отметить:


-  Поддержка режима Unix Socket для автоматизированной обработки набора pcap-файлов;
-  Подсистема IP Reputation для загрузки, учёта и использования в правилах данных из различных БД с репутацией хостов;
-  Новое ключевое слово Luajit для инспектирования пакетов, передаваемых данных и HTTP-трафика с использованием скриптов на языке Lua;
-  Режим отложенной инициализации, когда обработка пакетов начинается сразу, а движок обнаружения атак загружается в фоне;
-  Ключевое слово pkt_data для анализа содержимого пакетов;
-  Ключевое слово  Filesize для учёта в правилах размеров перехваченных из HTTP-трафика файлов;
-  Поддержка декодирования туннелей IPv4-in-IPv6, IPv6-in-IPv6 и Teredo;
-  Возможность привязки настроек парсера в привязке к отдельным HTTP-серверам;
-  Поддержка подключения внешних движков для ведения HTTP-логов;
-  Модуль для ведения лога TLS-сертификатов и параметров цифровых подписей. Поддержка сохранения перехваченных сертификатов на диск;
-  Поддержка интерфейса AF_PACKET для прямого забора пакетов из сетевого адаптера;
-  Поддержка специализированных карт захвата трафика Napatech.


Особенности Suricata:

-  Использование  для вывода результатов проверки унифицированного формата Unified2 (http://searchsecuritychannel.techtarget.com/tip/0,289483,sid...), также используемого проектом Snort, что позволяет использовать стандартные инструменты для анализа, такие как barnyard2 (http://www.securixlive.com/barnyard2/index.php). Возможность интеграции с продуктами BASE, Snorby, Sguil и SQueRT. Поддержка вывода в формате PCAP;

-   Поддержка автоматического определения протоколов (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и т.п.), позволяющая оперировать в правилах только типом протокола, без привязки к номеру порта (например, блокировать HTTP трафик на нестандартном порту). Наличие декодировщиков для протоколов HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP и SSH;


-  Мощная система анализа HTTP-трафика, использующая для разбора и нормализации HTTP-трафика специальную библиотеку HTP, созданную автором проекта Mod_Security. Доступен модуль для ведения подробного лога транзитных HTTP пересылок, лог сохраняется в стандартном формате
Apache. Поддерживается извлечение и проверка передаваемых по протоколу HTTP файлов. Поддержка разбора сжатого контента. Возможность идентификации по URI, Cookie, заголовкам, user-agent, телу запроса/ответа;

-  Поддержка различных интерфейсов для перехвата трафика, в том числе NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Возможен анализ уже сохранённых файлов в формате PCAP;

-  Высокая производительность, способность обрабатывать на обычном оборудовании потоки до 10 гигабит/cек.

-  Высокопроизводительный механизм сопоставления по маске с большими наборами IP адресов. Поддержка выделение контента по маске и регулярным выражениям. Выделение файлов из трафика, в том числе их идентификация по имени, типу или контрольной сумме MD5.
-  Возможность использования переменных в правилах: можно сохранить информацию из потока и позднее использовать ее в других правилах;
-  Использование формата  YAML в файлах конфигурации, что позволяет сохранить наглядность при легкости машинной обработки;
-  Полная поддержка IPv6;
-  Встроенный движок для автоматической дефрагментации и пересборки пакетов, позволяющий обеспечить корректную обработку потоков, независимо от порядка поступления пакетов;
-  Поддержка протоколов туннелирования: Teredo, IP-IP, IP6-IP4,   IP4-IP6, GRE;
-  Поддержка декодирования пакетов: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
-  Режим ведения лога ключей и сертификатов, фигурирующих в рамках соединений TLS/SSL;
-  Возможность написания скриптов на языке Lua для обеспечения расширенного анализа и реализации дополнительных возможностей, необходимых для определения видов трафика, для которых не достаточно стандартных правил.

URL: http://www.openinfosecfoundation.org/index.php/component/con...
Новость: http://www.opennet.me/opennews/art.shtml?num=35600

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Релиз системы обнаружения атак Suricata 1.4"  +2 +/
Сообщение от анонимус (??) on 14-Дек-12, 13:24 
Хорошая штука
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

11. "Релиз системы обнаружения атак Suricata 1.4"  +/
Сообщение от WhiteWind (??) on 15-Дек-12, 09:30 
> Хорошая штука

Я так понимаю, этот тот самый DPI, которым нас пугают?
И кстати, как он декодирует SSL и TLS?

Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

2. "Релиз системы обнаружения атак Suricata 1.4"  +2 +/
Сообщение от Аноним12 on 14-Дек-12, 14:31 
>Высокая производительность, способность обрабатывать на обычном оборудовании потоки до 10 гигабит/cек.

Хотелось бы узанть по подробнее какая должна быть конфигурация чтобы обрабатывать такие потоки, а также во сколько раз увеличиваются задержки при прохождение трафика, хотя бы на основных задачах, если ли где нибудь подобные тесты

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

3. "Релиз системы обнаружения атак Suricata 1.4"  +/
Сообщение от evkogan on 14-Дек-12, 18:27 
Задержек не будет. Оно не ставится в разрыв, на него заворачивается дублирующий трафик.
А При обнаружении реакция идет на сетевое оборудование, а не блокировка внутри.
Ответить | Правка | ^ к родителю #2 | Наверх | Cообщить модератору

5. "Релиз системы обнаружения атак Suricata 1.4"  +1 +/
Сообщение от Andrey Mitrofanov on 14-Дек-12, 19:10 
> Задержек не будет.
> реакция идет на сетевое оборудование, а не блокировка внутри.

Ну, значит, задержки будут на сетевом оборудовании при "реакции".

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

15. "Релиз системы обнаружения атак Suricata 1.4"  +/
Сообщение от Аноним (??) on 17-Дек-12, 18:53 
http://nag.ru/articles/article/22432/dpi.html
Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

4. "Релиз системы обнаружения атак Suricata 1.4"  +3 +/
Сообщение от tonys email(ok) on 14-Дек-12, 18:47 
Ну всё. Теперь я могу спокойно заказывать в сервера GeForce GTX 690.
:-)
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

6. "Релиз системы обнаружения атак Suricata 1.4"  +/
Сообщение от Аноним (??) on 14-Дек-12, 20:17 
это, даа:)
Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

7. "Релиз системы обнаружения атак Suricata 1.4"  +/
Сообщение от Adui on 14-Дек-12, 23:16 
бесплатная вебморда https://snorby.org/
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

8. "Релиз системы обнаружения атак Suricata 1.4"  +1 +/
Сообщение от Adui on 14-Дек-12, 23:17 
URL: http://demo.snorby.org
Username: demo@snorby.org
Password: snorby
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

9. "Релиз системы обнаружения атак Suricata 1.4"  +/
Сообщение от WhiteWind (??) on 15-Дек-12, 09:26 
>Релиз системы обнаружения атак Suricata 1.4

Причём здесь Snorby?

Ответить | Правка | ^ к родителю #8 | Наверх | Cообщить модератору

10. "Релиз системы обнаружения атак Suricata 1.4"  +1 +/
Сообщение от WhiteWind (??) on 15-Дек-12, 09:29 
Обещаю впредь пить кофе, прежде чем комментировать с утра.
Snorby - web-морда написанная на рельсах. Работает с Snort, Suricata или Sagan
Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

12. "Релиз системы обнаружения атак Suricata 1.4"  +/
Сообщение от Аноним (??) on 15-Дек-12, 09:58 
Как раз к подписанию договора МСЭ подоспела...
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

13. "Релиз системы обнаружения атак Suricata 1.4"  +/
Сообщение от Аноним (??) on 15-Дек-12, 10:04 
В английской википедие есть статья, а в русской - нет...
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

14. "Релиз системы обнаружения атак Suricata 1.4"  +/
Сообщение от Аноним (??) on 15-Дек-12, 23:39 
Можете выставить английскую на удаление, делов-то. Значимость предмета не показана.
Ответить | Правка | ^ к родителю #13 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру