The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]



"Доступна система обнаружения атак Suricata 4.0"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Доступна система обнаружения атак Suricata 4.0"  +/
Сообщение от opennews on 28-Июл-17, 01:25 
Организация OISF (Open Information Security Foundation) представила (https://suricata-ids.org/2017/07/27/suricata-4-0-released/) релиз системы обнаружения и предотвращения сетевых вторжений Suricata 4.0 (http://suricata-ids.org/). Suricata обеспечивает ускорения работы через задействование вычислений на стороне GPU (CUDA и OpenCL), поддерживает многопоточность для оптимального задействования мощностей многоядерных систем и имеет развитые средства инспектирования различных видов трафика. В конфигурациях Suricata допустимо задействование базы сигнатур (http://www.snort.org/vrt), развиваемой проектом  Snort, а также наборов правил Emerging Threats (http://rules.emergingthreats.net/) и Emerging Threats Pro (http://rules.emergingthreatspro.com/). Исходные тексты проекта распространяются под лицензией GPLv2.

Ветка Suricata 4.0 примечательна переходом к реализации некоторых компонентов на языке Rust с использованием библиотеки для создания парсеров Nom (https://github.com/Geal/nom). В частности на языке Rust предложены новые парсеры для разбора трафика  NFS, NTP и DNS, которые включаются при сборке Suricata  с использованием опций "--enable-rust" и "--enable-rust-experimental". Поддержка компонентов на Rust пока носит экспериментальный характер.


Другие изменения:


-  Значительно переработан движок для разбора TCP-сеансов, который стал работать быстрее и требовать меньше настроек в режиме предотвращения вторжений;

-  При инспектировании протоколов DNS и NFS реализована поддержка восстановления после возникновения приостановок сеанса (TCP GAP (https://redmine.openinfosecfoundation.org/issues/2093));

-  В движке определения атак реализован режим высокопроизводительного сопоставления по нескольким шаблонам;

-  Добавлены новые правила и улучшены существующие для инспектирования  
HTTP, SSH и других протоколов;

-  Добавлена поддержка декодирования, журналирования и сопоставления порядковых номеров сертификатов (serial) для TLS. Существенно расширены возможности по отражению сеансов TLS в логе;

-  Добавлена поддержка STARTTLS и ведения лога TLS-сеансов при инспектировании протоколов SMTP и FTP;
-  Добавлена поддержка декодирования, журналирования и извлечения файлов для сеансов NFS;

-  В EVE JSON, обеспечивающий вывод событий в формате JSON, добавлена поддержка логирования входящего и исходящего IP-адреса и номеров портов для трафика, инкапсулированного в туннелях;

-   Добавлены средства ротации логов unified2 без перезапуска;

-  Добавлена возможность сохранения в логе HTTP-запросов и тела ответов при генерации предупреждений;

-  Обеспечена (https://blog.inliniac.net/2016/12/20/suricata-bits-ints-and-.../) возможность использования регулярных выражений в правилах для определения произвольных параметров, которые необходимо извлечь из трафика и отразить в логе.  Например, можно извлечь такие дополнительные данные, как номер версии программы или email получателя письма.


Особенности Suricata:


-  Использование  для вывода результатов проверки унифицированного формата Unified2 (http://searchsecuritychannel.techtarget.com/tip/0,289483,sid...), также используемого проектом Snort, что позволяет использовать стандартные инструменты для анализа, такие как barnyard2 (http://www.securixlive.com/barnyard2/index.php). Возможность интеграции с продуктами BASE, Snorby, Sguil и SQueRT. Поддержка вывода в формате PCAP;

-   Поддержка автоматического определения протоколов (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и т.п.), позволяющая оперировать в правилах только типом протокола, без привязки к номеру порта (например, блокировать HTTP трафик на нестандартном порту). Наличие декодировщиков для протоколов HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP и SSH;

-  Мощная система анализа HTTP-трафика, использующая для разбора и нормализации HTTP-трафика специальную библиотеку HTP, созданную автором проекта Mod_Security. Доступен модуль для ведения подробного лога транзитных HTTP пересылок, лог сохраняется в стандартном формате
Apache. Поддерживается извлечение и проверка передаваемых по протоколу HTTP файлов. Поддержка разбора сжатого контента. Возможность идентификации по URI, Cookie, заголовкам, user-agent, телу запроса/ответа;


-  Поддержка различных интерфейсов для перехвата трафика, в том числе NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Возможен анализ уже сохранённых файлов в формате PCAP;


-  Высокая производительность, способность обрабатывать на обычном оборудовании потоки до 10 гигабит/cек.


-  Высокопроизводительный механизм сопоставления по маске с большими наборами IP адресов. Поддержка выделение контента по маске и регулярным выражениям. Выделение файлов из трафика, в том числе их идентификация по имени, типу или контрольной сумме MD5.

-  Возможность использования переменных в правилах: можно сохранить информацию из потока и позднее использовать ее в других правилах;

-  Использование формата  YAML в файлах конфигурации, что позволяет сохранить наглядность при легкости машинной обработки;

-  Полная поддержка IPv6;

-  Встроенный движок для автоматической дефрагментации и пересборки пакетов, позволяющий обеспечить корректную обработку потоков, независимо от порядка поступления пакетов;

-  Поддержка протоколов туннелирования: Teredo, IP-IP, IP6-IP4,   IP4-IP6, GRE;

-  Поддержка декодирования пакетов: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;

-  Режим ведения лога ключей и сертификатов, фигурирующих в рамках соединений TLS/SSL;

-  Возможность написания скриптов на языке Lua для обеспечения расширенного анализа и реализации дополнительных возможностей, необходимых для определения видов трафика, для которых не достаточно стандартных правил.


URL: https://suricata-ids.org/2017/07/27/suricata-4-0-released/
Новость: http://www.opennet.dev/opennews/art.shtml?num=46934

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]


1. "Доступна система обнаружения атак Suricata 4.0"  +/
Сообщение от Коля86 on 28-Июл-17, 01:25 
А какой веб интерфейс к ней посоветуете?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

8. "Доступна система обнаружения атак Suricata 4.0"  –1 +/
Сообщение от Анонон on 28-Июл-17, 09:36 
ELK конечно.
Есть готовые шаблоны под это дело https://github.com/StamusNetworks/KTS5
Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

16. "Доступна система обнаружения атак Suricata 4.0"  +/
Сообщение от dkg on 28-Июл-17, 11:54 
Pfsense
Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

21. "Доступна система обнаружения атак Suricata 4.0"  +/
Сообщение от Смузихлеб Аутист Хипстер Синьор on 28-Июл-17, 16:34 
https://github.com/Snorby/snorby
Ответить | Правка | ^ к родителю #1 | Наверх | Cообщить модератору

2. "Доступна система обнаружения атак Suricata 4.0"  +3 +/
Сообщение от qsdg (ok) on 28-Июл-17, 02:43 
Скажите, имеет смысл ставить такие проекты на личных машинах (я часто коннекчусь ко всяким wifi молодых студентов-хакиров, так что не удивился бы попытке взлома).

Мне что-то подсказывает, что такие системы сами по себе дыры -- требуют рута, и сниффят весь мой трафик, что может быть удобнее?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

3. "Доступна система обнаружения атак Suricata 4.0"  +2 +/
Сообщение от Аноним (??) on 28-Июл-17, 02:45 
На домашний комп есть смысл ставить? В последнее время подозреваю что меня пытаются хакнуть, вот только проверить нет возможности...
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

4. "Доступна система обнаружения атак Suricata 4.0"  +3 +/
Сообщение от ryoken (ok) on 28-Июл-17, 07:34 
> На домашний комп есть смысл ставить? В последнее время подозреваю что меня
> пытаются хакнуть, вот только проверить нет возможности...

Возможно скажу чушь, поправьте. А что мешает перед компом роутер какой поставить?

Ответить | Правка | ^ к родителю #3 | Наверх | Cообщить модератору

5. "Доступна система обнаружения атак Suricata 4.0"  +1 +/
Сообщение от ryoken (ok) on 28-Июл-17, 07:36 
> -  Высокая производительность, способность обрабатывать на обычном оборудовании потоки
> до 10 гигабит/cек.

Скажите неразбирающемуся, что такое "обычное оборудование" в данном смысле? Ну и ссылок плз, если сложно объяснять :).

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

6. "Доступна система обнаружения атак Suricata 4.0"  +/
Сообщение от Аноним email(??) on 28-Июл-17, 08:19 
Обычное, значит ничего особенного, в данном смысле. Короче, дешевый ширпотреб.
Ответить | Правка | ^ к родителю #5 | Наверх | Cообщить модератору

23. "Доступна система обнаружения атак Suricata 4.0"  +/
Сообщение от Аноним (??) on 31-Июл-17, 19:33 
На обычном ширпотребе с гигабитной сетевухой обрабатывать трафик 10 гбит/с? Неплохо, неплохо.
Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

7. "Доступна система обнаружения атак Suricata 4.0"  +/
Сообщение от Ананизм on 28-Июл-17, 09:10 
я, как старовер, посижу на снорте...
и не нужны мне мощности gpu.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

9. "Доступна система обнаружения атак Suricata 4.0"  +/
Сообщение от Анонон on 28-Июл-17, 09:37 
Снорт уже научился в многопоточность ?
Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

10. "Доступна система обнаружения атак Suricata 4.0"  +/
Сообщение от Ананизм on 28-Июл-17, 10:00 
нэт
Ответить | Правка | ^ к родителю #9 | Наверх | Cообщить модератору

11. "Доступна система обнаружения атак Suricata 4.0"  +/
Сообщение от Ананизм on 28-Июл-17, 10:03 
но вообще-то да, еще года три как тому назад.
смотря многопоточность чего интересует.
если обработка пакетов, то да.
если пайплайниг, то нет.
Ответить | Правка | ^ к родителю #10 | Наверх | Cообщить модератору

14. "Доступна система обнаружения атак Suricata 4.0"  +1 +/
Сообщение от Онанимус on 28-Июл-17, 10:31 
Староверы предпочитают снорту двоеперстие. Так что Вы, батенька, никонианец.


Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

12. "Доступна система обнаружения атак Suricata 4.0"  +/
Сообщение от Анонон on 28-Июл-17, 10:06 
А накидайте кто откуда правила берёт.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

13. "Доступна система обнаружения атак Suricata 4.0"  +/
Сообщение от Ананизм on 28-Июл-17, 10:13 
vrt free
GPLv2 Community
OpenAppID
ET Open
Ответить | Правка | ^ к родителю #12 | Наверх | Cообщить модератору

15. "Доступна система обнаружения атак Suricata 4.0"  +/
Сообщение от Онанимус on 28-Июл-17, 10:37 
Вот, какой смысл во всех этих HTTP вкусностях, если, наверное, процентов 90 трафика HTTPS?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

17. "Доступна система обнаружения атак Suricata 4.0"  +1 +/
Сообщение от Анонон on 28-Июл-17, 11:54 
Внезапно в доменной среде можно настроить корневые сертификаты и смотреть что там в https творится.
Ответить | Правка | ^ к родителю #15 | Наверх | Cообщить модератору

18. "Доступна система обнаружения атак Suricata 4.0"  +1 +/
Сообщение от Онанимус on 28-Июл-17, 13:00 
И какие же политики нужно прописать на контроллере, чтобы огнелис принял эти митм сертификаты?
Ответить | Правка | ^ к родителю #17 | Наверх | Cообщить модератору

19. "Доступна система обнаружения атак Suricata 4.0"  +/
Сообщение от Аноним (??) on 28-Июл-17, 14:01 
Очевидно, всем расставить свою сборочку фаерфокса. Впрочем, в теперешнем состоянии оно никому и ненужно.
Ответить | Правка | ^ к родителю #18 | Наверх | Cообщить модератору

20. "Доступна система обнаружения атак Suricata 4.0"  +/
Сообщение от Аноним (??) on 28-Июл-17, 15:48 
Кто-нибудь уже ставил suricata 4.0 на Debian?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

22. "Доступна система обнаружения атак Suricata 4.0"  +1 +/
Сообщение от koblin (ok) on 28-Июл-17, 22:42 
наверняка
Ответить | Правка | ^ к родителю #20 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру