The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Доступна система обнаружения атак Suricata 4.0

27.07.2017 23:48

Организация OISF (Open Information Security Foundation) представила релиз системы обнаружения и предотвращения сетевых вторжений Suricata 4.0. Suricata обеспечивает ускорения работы через задействование вычислений на стороне GPU (CUDA и OpenCL), поддерживает многопоточность для оптимального задействования мощностей многоядерных систем и имеет развитые средства инспектирования различных видов трафика. В конфигурациях Suricata допустимо задействование базы сигнатур, развиваемой проектом Snort, а также наборов правил Emerging Threats и Emerging Threats Pro. Исходные тексты проекта распространяются под лицензией GPLv2.

Ветка Suricata 4.0 примечательна переходом к реализации некоторых компонентов на языке Rust с использованием библиотеки для создания парсеров Nom. В частности на языке Rust предложены новые парсеры для разбора трафика NFS, NTP и DNS, которые включаются при сборке Suricata с использованием опций "--enable-rust" и "--enable-rust-experimental". Поддержка компонентов на Rust пока носит экспериментальный характер.

Другие изменения:

  • Значительно переработан движок для разбора TCP-сеансов, который стал работать быстрее и требовать меньше настроек в режиме предотвращения вторжений;
  • При инспектировании протоколов DNS и NFS реализована поддержка восстановления после возникновения приостановок сеанса (TCP GAP);
  • В движке определения атак реализован режим высокопроизводительного сопоставления по нескольким шаблонам;
  • Добавлены новые правила и улучшены существующие для инспектирования HTTP, SSH и других протоколов;
  • Добавлена поддержка декодирования, журналирования и сопоставления порядковых номеров сертификатов (serial) для TLS. Существенно расширены возможности по отражению сеансов TLS в логе;
  • Добавлена поддержка STARTTLS и ведения лога TLS-сеансов при инспектировании протоколов SMTP и FTP;
  • Добавлена поддержка декодирования, журналирования и извлечения файлов для сеансов NFS;
  • В EVE JSON, обеспечивающий вывод событий в формате JSON, добавлена поддержка логирования входящего и исходящего IP-адреса и номеров портов для трафика, инкапсулированного в туннелях;
  • Добавлены средства ротации логов unified2 без перезапуска;
  • Добавлена возможность сохранения в логе HTTP-запросов и тела ответов при генерации предупреждений;
  • Обеспечена возможность использования регулярных выражений в правилах для определения произвольных параметров, которые необходимо извлечь из трафика и отразить в логе. Например, можно извлечь такие дополнительные данные, как номер версии программы или email получателя письма.


Особенности Suricata:

  • Использование для вывода результатов проверки унифицированного формата Unified2, также используемого проектом Snort, что позволяет использовать стандартные инструменты для анализа, такие как barnyard2. Возможность интеграции с продуктами BASE, Snorby, Sguil и SQueRT. Поддержка вывода в формате PCAP;
  • Поддержка автоматического определения протоколов (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и т.п.), позволяющая оперировать в правилах только типом протокола, без привязки к номеру порта (например, блокировать HTTP трафик на нестандартном порту). Наличие декодировщиков для протоколов HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP и SSH;
  • Мощная система анализа HTTP-трафика, использующая для разбора и нормализации HTTP-трафика специальную библиотеку HTP, созданную автором проекта Mod_Security. Доступен модуль для ведения подробного лога транзитных HTTP пересылок, лог сохраняется в стандартном формате Apache. Поддерживается извлечение и проверка передаваемых по протоколу HTTP файлов. Поддержка разбора сжатого контента. Возможность идентификации по URI, Cookie, заголовкам, user-agent, телу запроса/ответа;
  • Поддержка различных интерфейсов для перехвата трафика, в том числе NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Возможен анализ уже сохранённых файлов в формате PCAP;
  • Высокая производительность, способность обрабатывать на обычном оборудовании потоки до 10 гигабит/cек.
  • Высокопроизводительный механизм сопоставления по маске с большими наборами IP адресов. Поддержка выделение контента по маске и регулярным выражениям. Выделение файлов из трафика, в том числе их идентификация по имени, типу или контрольной сумме MD5.
  • Возможность использования переменных в правилах: можно сохранить информацию из потока и позднее использовать ее в других правилах;
  • Использование формата YAML в файлах конфигурации, что позволяет сохранить наглядность при легкости машинной обработки;
  • Полная поддержка IPv6;
  • Встроенный движок для автоматической дефрагментации и пересборки пакетов, позволяющий обеспечить корректную обработку потоков, независимо от порядка поступления пакетов;
  • Поддержка протоколов туннелирования: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
  • Поддержка декодирования пакетов: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
  • Режим ведения лога ключей и сертификатов, фигурирующих в рамках соединений TLS/SSL;
  • Возможность написания скриптов на языке Lua для обеспечения расширенного анализа и реализации дополнительных возможностей, необходимых для определения видов трафика, для которых не достаточно стандартных правил.


  1. Главная ссылка к новости (https://suricata-ids.org/2017/...)
  2. OpenNews: Выпуск системы обнаружения атак Suricata 3.2
  3. OpenNews: Выпуск системы обнаружения атак Suricata 3.1
  4. OpenNews: Доступна система обнаружения атак Suricata 3.0
  5. OpenNews: Компания Cisco представила Snort 3.0, систему предотвращения атак нового поколения
  6. OpenNews: Релиз системы обнаружения атак Snort 2.9.9.0
Лицензия: CC BY 3.0
Короткая ссылка: https://opennet.ru/46934-suricata
Ключевые слова: suricata, ids, ips
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (23) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, Коля86 (?), 01:25, 28/07/2017 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    А какой веб интерфейс к ней посоветуете?
     
     
  • 2.8, Анонон (?), 09:36, 28/07/2017 [^] [^^] [^^^] [ответить]  
  • –1 +/
    ELK конечно.
    Есть готовые шаблоны под это дело https://github.com/StamusNetworks/KTS5
     
  • 2.16, dkg (?), 11:54, 28/07/2017 [^] [^^] [^^^] [ответить]  
  • +/
    Pfsense
     
  • 2.21, Смузихлеб Аутист Хипстер Синьор (?), 16:34, 28/07/2017 [^] [^^] [^^^] [ответить]  
  • +/
    https://github.com/Snorby/snorby
     

  • 1.2, qsdg (ok), 02:43, 28/07/2017 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    Скажите, имеет смысл ставить такие проекты на личных машинах (я часто коннекчусь ко всяким wifi молодых студентов-хакиров, так что не удивился бы попытке взлома).

    Мне что-то подсказывает, что такие системы сами по себе дыры -- требуют рута, и сниффят весь мой трафик, что может быть удобнее?

     
  • 1.3, Аноним (-), 02:45, 28/07/2017 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    На домашний комп есть смысл ставить? В последнее время подозреваю что меня пытаются хакнуть, вот только проверить нет возможности...
     
     
  • 2.4, ryoken (ok), 07:34, 28/07/2017 [^] [^^] [^^^] [ответить]  
  • +3 +/
    > На домашний комп есть смысл ставить? В последнее время подозреваю что меня
    > пытаются хакнуть, вот только проверить нет возможности...

    Возможно скажу чушь, поправьте. А что мешает перед компом роутер какой поставить?

     

  • 1.5, ryoken (ok), 07:36, 28/07/2017 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    > -  Высокая производительность, способность обрабатывать на обычном оборудовании потоки
    > до 10 гигабит/cек.

    Скажите неразбирающемуся, что такое "обычное оборудование" в данном смысле? Ну и ссылок плз, если сложно объяснять :).

     
     
  • 2.6, Аноним (6), 08:19, 28/07/2017 [^] [^^] [^^^] [ответить]  
  • +/
    Обычное, значит ничего особенного, в данном смысле. Короче, дешевый ширпотреб.
     
     
  • 3.23, Аноним (-), 19:33, 31/07/2017 [^] [^^] [^^^] [ответить]  
  • +/
    На обычном ширпотребе с гигабитной сетевухой обрабатывать трафик 10 гбит/с? Неплохо, неплохо.
     

  • 1.7, Ананизм (?), 09:10, 28/07/2017 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    я, как старовер, посижу на снорте...
    и не нужны мне мощности gpu.
     
     
  • 2.9, Анонон (?), 09:37, 28/07/2017 [^] [^^] [^^^] [ответить]  
  • +/
    Снорт уже научился в многопоточность ?
     
     
  • 3.10, Ананизм (?), 10:00, 28/07/2017 [^] [^^] [^^^] [ответить]  
  • +/
    нэт
     
     
  • 4.11, Ананизм (?), 10:03, 28/07/2017 [^] [^^] [^^^] [ответить]  
  • +/
    но вообще-то да, еще года три как тому назад.
    смотря многопоточность чего интересует.
    если обработка пакетов, то да.
    если пайплайниг, то нет.
     
  • 2.14, Онанимус (?), 10:31, 28/07/2017 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Староверы предпочитают снорту двоеперстие. Так что Вы, батенька, никонианец.


     

  • 1.12, Анонон (?), 10:06, 28/07/2017 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    А накидайте кто откуда правила берёт.
     
     
  • 2.13, Ананизм (?), 10:13, 28/07/2017 [^] [^^] [^^^] [ответить]  
  • +/
    vrt free
    GPLv2 Community
    OpenAppID
    ET Open
     

  • 1.15, Онанимус (?), 10:37, 28/07/2017 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Вот, какой смысл во всех этих HTTP вкусностях, если, наверное, процентов 90 трафика HTTPS?
     
     
  • 2.17, Анонон (?), 11:54, 28/07/2017 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Внезапно в доменной среде можно настроить корневые сертификаты и смотреть что там в https творится.
     
     
  • 3.18, Онанимус (?), 13:00, 28/07/2017 [^] [^^] [^^^] [ответить]  
  • +1 +/
    И какие же политики нужно прописать на контроллере, чтобы огнелис принял эти митм сертификаты?
     
     
  • 4.19, Аноним (-), 14:01, 28/07/2017 [^] [^^] [^^^] [ответить]  
  • +/
    Очевидно, всем расставить свою сборочку фаерфокса. Впрочем, в теперешнем состоянии оно никому и ненужно.
     

  • 1.20, Аноним (-), 15:48, 28/07/2017 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Кто-нибудь уже ставил suricata 4.0 на Debian?
     
     
  • 2.22, koblin (ok), 22:42, 28/07/2017 [^] [^^] [^^^] [ответить]  
  • +1 +/
    наверняка
     

     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Партнёры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2024 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру