The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

Выпуск анализатора трафика Zeek 3.0.0

25.09.2019 11:23

Спустя семь лет с момента формирования прошлой значительной ветки представлен релиз системы анализа трафика и выявления сетевых вторжений Zeek 3.0.0 , ранее распространявшейся под именем Bro. Это первый значительный выпуск после переименования проекта, совершённого так как имя Bro ассоциировалось с одноимённой маргинальной субкультурой, а не как задуманный авторами намёк на "большого брата" из романа Джорджа Оруэлла "1984". Код системы написан на языке С++ и распространяется под лицензией BSD.

Zeek представляет собой платформу для анализа трафика, ориентированную в первую очередь на отслеживание событий, связанных с безопасностью, но не ограничивающуюся этим применением. Предоставляются модули для анализа и разбора различных сетевых протоколов уровня приложений, учитывающие состояние соединений и позволяющие формировать подробный журнал (архив) сетевой активности. Предлагается предметно-ориентированный язык для написания сценариев мониторинга и выявления аномалий с учётом специфики конкретных инфраструктур. Система оптимизирована для использования в сетях с большой пропускной способностью. Предоставляется API для интеграции со сторонними информационными системами и обмена данными в режиме реального времени.

В новом выпуске:

  • Полностью переписан анализатор для протокола NTP и добавлен новый анализатор для MQTT. Расширены возможности анализаторов для DNS, RDP, SMB и TLS. Для DNS обеспечен разбор записей SPF, а для DNSSEC - RRSIG, DNSKEY, DS, NSEC и NSEC3 и выделение связанных с ними событий. В анализатор SMB добавлена поддержка протокола SMB 3.x, а для TLS поддержка TLS 1.3;
  • Реализована поддержка деинкапсуляции потоков, передаваемых внутри туннелей VXLAN;
  • Добавлена поддержка линков с типом NFLOG;
  • Добавлена возможность сохранения в логе извлечённых данных в кодировке UTF8;
  • В язык сценариев добавлена поддержка замыканий для анонимных функций, добавлен оператор перебора таблиц в формате ключ-значение ("for ( key, value in t )"), реализованы операции разделения векторов в стиле Python ("v[2:4]"), предложена новая структура paraglob для быстрого сопоставления строковых масок в больших наборах бинарных данных;
  • Все упоминания имени "bro" в файловых путях, настройках, пакетах, скриптах, пространствах имён и функциях заменены на "zeek" (поддержка старых имён сохранена для обеспечения обратной совместимости). Пакетный менеджер bro-pkg переименован в zkg.


  1. Главная ссылка к новости (https://blog.zeek.org/2019/09/...)
  2. OpenNews: Открытый проект Bro переименован в Zeek из-за негативной коннотации
  3. OpenNews: Доступна система обнаружения атак Suricata 4.1
  4. OpenNews: Первый выпуск системы выявления аномалий Sysdig Falco
  5. OpenNews: Выпуск системы управления доступом к сети PacketFence 9.0
  6. OpenNews: Система обнаружения атак Snort 3 перешла на стадию бета-тестирования
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/51553-monitoring
Ключевые слова: monitoring, backup
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (33) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.2, Антон (??), 10:56, 25/09/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    Есть опыт? Что плохого в этом продукте?
     
     
  • 2.23, Водитель маршрутки (?), 14:11, 25/09/2019 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Теперь все хорошо, даже утф8 подвезли, а раньше субкультура была плохая
     
  • 2.36, Аноним (-), 02:18, 26/09/2019 [^] [^^] [^^^] [ответить]  
  • +5 +/
    На чем написан интерфейс Zeek? Или оно консольное?
     
  • 2.37, Аноним (-), 02:27, 26/09/2019 [^] [^^] [^^^] [ответить]  
  • +2 +/
    По сути Zeek это NIDS. Но плохого в этом ничего нет! :)
     

  • 1.4, Аноним (4), 11:19, 25/09/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • –2 +/
    А zeek ассоциируется с зигой. Срочно меняйте название
     
     
  • 2.6, Аноним (6), 11:38, 25/09/2019 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Так зига это sieg heil.
     
     
  • 3.7, Ваня Бевзюк сетевик (?), 11:39, 25/09/2019 [^] [^^] [^^^] [ответить]  
  • –1 +/
    ассоциируется. у меня тоже
     
  • 2.24, Free Hardware Dreamer (?), 14:29, 25/09/2019 [^] [^^] [^^^] [ответить]  
  • +11 +/
    Во времена тотального засилия толерантности, феминизма и прочих девиаций, зиг прям бальзам на душу.
     

  • 1.9, Анонимный селебрити (?), 11:51, 25/09/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Ну назвал бы BigBro1984, а то теперь какой-то Зик
     
     
  • 2.12, rinat85 (?), 12:14, 25/09/2019 [^] [^^] [^^^] [ответить]  
  • +2 +/
    Тоже об этом подумал, просто BigBro было бы замечательным названием :)
     
  • 2.13, macfaq (?), 12:33, 25/09/2019 [^] [^^] [^^^] [ответить]  
  • +/
    > Ну назвал бы BigBro1984, а то теперь какой-то Зик

    А про какую "маргинальную субкультуру" они пишут?

     
     
  • 3.15, ыы (?), 12:56, 25/09/2019 [^] [^^] [^^^] [ответить]  
  • +4 +/
    Какие-то тамошние дивиации "которые которых"...
     
     
  • 4.25, Аноним84701 (ok), 14:36, 25/09/2019 [^] [^^] [^^^] [ответить]  
  • +/
    > Какие-то тамошние дивиации "которые которых"...

    Я всегда подозвревал "blockchain bros" в чем-то эдаком o_O

    И правда -  группа (большей частью) мужиков, успешно сопротивляющаяся квотам на выступления женщин, трансгендеров и прочих,
    https://www.forbes.com/sites/rachelwolfson/2018/03/14/blockchain-bros-no-more-
    https://womeninblockchainglobal.org/
    аргументируя это каким-то замшело-прошлостолетним "мы ориентируемся исключительно на скилы" (что приводило к множественному SJW-батх^W праведному гневу защитников угнетенных )!

    Действительно, девиации "которые которых" ...

    ЗЫ: оригинал опеннета
    https://www.opennet.dev/opennews/art.shtml?num=49441
    > Утверждается, что переименование вынужденная мера, принятая в ответ на отрицательное отношение
    > современного общества к субкультуре "Bro" и феномену "Blockchain bros" (образовавшееся вокруг
    > криптовалют сообщество состоит преимущественно из мужчин и основывается исключительно на
    > способностях, игнорируя попытки введения квот для женских выступлений на конференциях и инициативы по
    >  привлечению в сообщество большего числа женщин).
    >

     
     
  • 5.27, ыы (?), 15:21, 25/09/2019 [^] [^^] [^^^] [ответить]  
  • –1 +/

    "
    Что-то, воля ваша, недоброе таится в мужчинах, избегающих вина, игр, общества прелестных женщин, застольной беседы. Такие люди или тяжко больны, или втайне ненавидят окружающих." (с) Булгаков

    А то что они там что-то про скилы бормочут - стыдно им выносить истинные мотивы налюди...

     
     
  • 6.46, artenox (?), 12:58, 28/09/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Булгаков не всегда прав. У меня, например, есть к его произведению несколько вопросов. Но думаю, это оффтоп здесь.
     
  • 5.33, macfaq (?), 21:22, 25/09/2019 [^] [^^] [^^^] [ответить]  
  • –1 +/
    > ЗЫ: оригинал опеннета
    > https://www.opennet.dev/opennews/art.shtml?num=49441
    >> Утверждается, что переименование вынужденная мера, принятая в ответ на отрицательное отношение
    >> современного общества к субкультуре "Bro" и феномену "Blockchain bros" (образовавшееся вокруг
    >> криптовалют сообщество состоит преимущественно из мужчин и основывается исключительно на
    >> способностях, игнорируя попытки введения квот для женских выступлений на конференциях и инициативы по
    >>  привлечению в сообщество большего числа женщин).
    >>

    Очередные поехавшие, я понял, благодарю.

     
     
  • 6.35, Аноним84701 (ok), 21:45, 25/09/2019 [^] [^^] [^^^] [ответить]  
  • +/
    > Очередные поехавшие, я понял, благодарю.

    Кто поехавшие и почему очередные? Насколько я понял, "blockchain bros" - это сугубо SJW-шное именование определенной группы людей (конкретно: "криптовалютчиков").

     
     
  • 7.39, macfaq (?), 09:29, 26/09/2019 [^] [^^] [^^^] [ответить]  
  • +/
    >> Очередные поехавшие, я понял, благодарю.
    > Кто поехавшие и почему очередные? Насколько я понял, "blockchain bros" - это
    > сугубо SJW-шное именование определенной группы людей (конкретно: "криптовалютчиков").

    SJW поехавшие, разумеется.
    Отвлёкся и не до конца сформулировал пост.

     

  • 1.18, Аноним (18), 13:46, 25/09/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Чем оно лучше Suricata ?
     
     
  • 2.22, Аноним (6), 14:08, 25/09/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Пакетным менеджером.
     
     
  • 3.29, evkogan (?), 16:53, 25/09/2019 [^] [^^] [^^^] [ответить]  
  • –1 +/
    А подробнее?
     

  • 1.26, Wilem (?), 14:56, 25/09/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Big brother — это старший брат, а не большой. Результаты плохого перевода накрепко поразили массовое сознание.
     
     
  • 2.32, анан (?), 19:18, 25/09/2019 [^] [^^] [^^^] [ответить]  
  • +/
    в оригинале (1984) и был Big Brother
     
  • 2.40, rinat85 (?), 12:09, 26/09/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Хм, может быть, но я чаще слышал "elder brother" в качестве старшего брата...
     
  • 2.43, докерфорева (?), 15:54, 27/09/2019 [^] [^^] [^^^] [ответить]  
  • +/
    это вы неправильно переводите на русский
     

  • 1.30, Аноним (30), 17:28, 25/09/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +4 +/
    Из братана - в зека, что непонятного
     
  • 1.31, Аноним (31), 19:04, 25/09/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • –1 +/
    https://github.com/zeek/zeek/blob/master/src/Discard.cc

    логическая переменная? не неслишал
    67: int is_tcp = (proto == IPPROTO_TCP);
    68: int is_udp = (proto == IPPROTO_UDP);

    логическое И, не неслишал
    if(is_tcp && check_tcp)

    81: if ( is_tcp )
    82: {
    83: if ( check_tcp )

    приведение типов static_cast, не неслишал
    109: const struct udphdr* up = (const struct udphdr*) data;
    const struct udphdr* up = static_cast<const struct udphdr*>(data);

    беззнаковая переменная для size_of, не неслишал
    110: int uh_len = sizeof (struct udphdr);
    auto/size_t uh_len = sizeof (struct udphdr);

    и.т.

     
     
  • 2.34, Аноним (34), 21:24, 25/09/2019 [^] [^^] [^^^] [ответить]  
  • +2 +/
    День анонимного эксперта на опеннете?
     
  • 2.38, igor (??), 09:05, 26/09/2019 [^] [^^] [^^^] [ответить]  
  • +1 +/
    79: const u_char* data = ip->Payload();
    109: const struct udphdr* up = (const struct udphdr*) data;
    Это статик кастом не приведешь, только реинтерпрет кастом.

    81: if ( is_tcp )
    82:        {
    83:        if ( check_tcp )
    Далее идут проверки на UDP и в конце стоит else. Так просто здесь не поставишь логическое И.

    110: int uh_len = sizeof (struct udphdr);
    Далее эта переменная используется как знаковая

     
  • 2.42, klalafuda (?), 06:19, 27/09/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Вы по мелочам придираетесь чес слово. Так можно и к вырвиглазному форматированию опуститься. А вот:

    160: return new StringVal(new BroString(data, len, 1));

    ..уже кужа хуже. Exception Safety? Не слышали. RAII? аналогично. И так нужно полагать по всему коду.

     
     
  • 3.44, Аноним (44), 20:43, 27/09/2019 [^] [^^] [^^^] [ответить]  
  • +/
    Поясните в чем проблема. Я что-то не совсем пойму почему так ненужно делать? Чем это опасно?
     

  • 1.41, Аноним (-), 13:30, 26/09/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Так объясните что там за интерфейс? Графика? Консоль?
     
  • 1.45, Аноним (44), 20:44, 27/09/2019 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    Как себя ведет на нагрузке? Успевает вообще анализировать или это все к чертям разваливаеться? Надо зеркалировать трафик или можно использовать как passtruth?
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру