The OpenNET Project / Index page

[ новости /+++ | форум | wiki | теги | ]

Релиз системы обнаружения атак Suricata 1.4

14.12.2012 11:57

Организация OISF (Open Information Security Foundation) представила релиз системы обнаружения и предотвращения сетевых вторжений Suricata 1.4. Система отличается поддержкой ускорения работы через задействование вычислений на стороне GPU (CUDA и OpenCL), поддерживает многопоточность для оптимального задействования мощностей многоядерных систем и имеет развитые средства инспектирования различных видов трафика. В конфигурациях Suricata допустимо задействование базы сигнатур, развиваемой проектом Snort, а также наборов правил Emerging Threats и Emerging Threats Pro. Исходные тексты проекта распространяются под лицензией GPLv2.

Из новшеств, добавленных в Suricata 1.4, можно отметить:

  • Поддержка режима Unix Socket для автоматизированной обработки набора pcap-файлов;
  • Подсистема IP Reputation для загрузки, учёта и использования в правилах данных из различных БД с репутацией хостов;
  • Новое ключевое слово Luajit для инспектирования пакетов, передаваемых данных и HTTP-трафика с использованием скриптов на языке Lua;
  • Режим отложенной инициализации, когда обработка пакетов начинается сразу, а движок обнаружения атак загружается в фоне;
  • Ключевое слово pkt_data для анализа содержимого пакетов;
  • Ключевое слово Filesize для учёта в правилах размеров перехваченных из HTTP-трафика файлов;
  • Поддержка декодирования туннелей IPv4-in-IPv6, IPv6-in-IPv6 и Teredo;
  • Возможность привязки настроек парсера в привязке к отдельным HTTP-серверам;
  • Поддержка подключения внешних движков для ведения HTTP-логов;
  • Модуль для ведения лога TLS-сертификатов и параметров цифровых подписей. Поддержка сохранения перехваченных сертификатов на диск;
  • Поддержка интерфейса AF_PACKET для прямого забора пакетов из сетевого адаптера;
  • Поддержка специализированных карт захвата трафика Napatech.

Особенности Suricata:

  • Использование для вывода результатов проверки унифицированного формата Unified2, также используемого проектом Snort, что позволяет использовать стандартные инструменты для анализа, такие как barnyard2. Возможность интеграции с продуктами BASE, Snorby, Sguil и SQueRT. Поддержка вывода в формате PCAP;
  • Поддержка автоматического определения протоколов (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и т.п.), позволяющая оперировать в правилах только типом протокола, без привязки к номеру порта (например, блокировать HTTP трафик на нестандартном порту). Наличие декодировщиков для протоколов HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP и SSH;
  • Мощная система анализа HTTP-трафика, использующая для разбора и нормализации HTTP-трафика специальную библиотеку HTP, созданную автором проекта Mod_Security. Доступен модуль для ведения подробного лога транзитных HTTP пересылок, лог сохраняется в стандартном формате Apache. Поддерживается извлечение и проверка передаваемых по протоколу HTTP файлов. Поддержка разбора сжатого контента. Возможность идентификации по URI, Cookie, заголовкам, user-agent, телу запроса/ответа;
  • Поддержка различных интерфейсов для перехвата трафика, в том числе NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Возможен анализ уже сохранённых файлов в формате PCAP;
  • Высокая производительность, способность обрабатывать на обычном оборудовании потоки до 10 гигабит/cек.
  • Высокопроизводительный механизм сопоставления по маске с большими наборами IP адресов. Поддержка выделение контента по маске и регулярным выражениям. Выделение файлов из трафика, в том числе их идентификация по имени, типу или контрольной сумме MD5.
  • Возможность использования переменных в правилах: можно сохранить информацию из потока и позднее использовать ее в других правилах;
  • Использование формата YAML в файлах конфигурации, что позволяет сохранить наглядность при легкости машинной обработки;
  • Полная поддержка IPv6;
  • Встроенный движок для автоматической дефрагментации и пересборки пакетов, позволяющий обеспечить корректную обработку потоков, независимо от порядка поступления пакетов;
  • Поддержка протоколов туннелирования: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
  • Поддержка декодирования пакетов: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
  • Режим ведения лога ключей и сертификатов, фигурирующих в рамках соединений TLS/SSL;
  • Возможность написания скриптов на языке Lua для обеспечения расширенного анализа и реализации дополнительных возможностей, необходимых для определения видов трафика, для которых не достаточно стандартных правил.


  1. Главная ссылка к новости (http://www.openinfosecfoundati...)
Лицензия: CC-BY
Тип: Программы
Короткая ссылка: https://opennet.ru/35600-suricata
Ключевые слова: suricata
При перепечатке указание ссылки на opennet.ru обязательно


Обсуждение (15) Ajax | 1 уровень | Линейный | +/- | Раскрыть всё | RSS
  • 1.1, анонимус (??), 13:24, 14/12/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    Хорошая штука
     
     
  • 2.11, WhiteWind (??), 09:30, 15/12/2012 [^] [^^] [^^^] [ответить]  
  • +/
    > Хорошая штука

    Я так понимаю, этот тот самый DPI, которым нас пугают?
    И кстати, как он декодирует SSL и TLS?

     

  • 1.2, Аноним12 (?), 14:31, 14/12/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +2 +/
    >Высокая производительность, способность обрабатывать на обычном оборудовании потоки до 10 гигабит/cек.

    Хотелось бы узанть по подробнее какая должна быть конфигурация чтобы обрабатывать такие потоки, а также во сколько раз увеличиваются задержки при прохождение трафика, хотя бы на основных задачах, если ли где нибудь подобные тесты

     
     
  • 2.3, evkogan (?), 18:27, 14/12/2012 [^] [^^] [^^^] [ответить]  
  • +/
    Задержек не будет. Оно не ставится в разрыв, на него заворачивается дублирующий трафик.
    А При обнаружении реакция идет на сетевое оборудование, а не блокировка внутри.
     
     
  • 3.5, Andrey Mitrofanov (?), 19:10, 14/12/2012 [^] [^^] [^^^] [ответить]  
  • +1 +/
    > Задержек не будет.
    > реакция идет на сетевое оборудование, а не блокировка внутри.

    Ну, значит, задержки будут на сетевом оборудовании при "реакции".

     
  • 3.15, Аноним (-), 18:53, 17/12/2012 [^] [^^] [^^^] [ответить]  
  • +/
    http://nag.ru/articles/article/22432/dpi.html
     

  • 1.4, tonys (ok), 18:47, 14/12/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +3 +/
    Ну всё. Теперь я могу спокойно заказывать в сервера GeForce GTX 690.
    :-)
     
     
  • 2.6, Аноним (-), 20:17, 14/12/2012 [^] [^^] [^^^] [ответить]  
  • +/
    это, даа:)
     

  • 1.7, Adui (?), 23:16, 14/12/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    бесплатная вебморда https://snorby.org/
     
  • 1.8, Adui (?), 23:17, 14/12/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +1 +/
    URL: http://demo.snorby.org
    Username: demo@snorby.org
    Password: snorby
     
     
  • 2.9, WhiteWind (??), 09:26, 15/12/2012 [^] [^^] [^^^] [ответить]  
  • +/
    >Релиз системы обнаружения атак Suricata 1.4

    Причём здесь Snorby?

     
     
  • 3.10, WhiteWind (??), 09:29, 15/12/2012 [^] [^^] [^^^] [ответить]  
  • +1 +/
    Обещаю впредь пить кофе, прежде чем комментировать с утра.
    Snorby - web-морда написанная на рельсах. Работает с Snort, Suricata или Sagan
     

  • 1.12, Аноним (-), 09:58, 15/12/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    Как раз к подписанию договора МСЭ подоспела...
     
  • 1.13, Аноним (-), 10:04, 15/12/2012 [ответить] [﹢﹢﹢] [ · · · ]  
  • +/
    В английской википедие есть статья, а в русской - нет...
     
     
  • 2.14, Аноним (-), 23:39, 15/12/2012 [^] [^^] [^^^] [ответить]  
  • +/
    Можете выставить английскую на удаление, делов-то. Значимость предмета не показана.
     
     Добавить комментарий
    Имя:
    E-Mail:
    Текст:



    Спонсоры:
    PostgresPro
    Inferno Solutions
    Hosting by Hoster.ru
    Хостинг:

    Закладки на сайте
    Проследить за страницей
    Created 1996-2023 by Maxim Chirkov
    Добавить, Поддержать, Вебмастеру