После шести месяцев разработки организация OISF (Open Information Security Foundation) представила (https://suricata-ids.org/2016/06/20/suricata-3-1-released/) релиз системы обнаружения и предотвращения сетевых вторжений Suricata 3.1 (http://suricata-ids.org/), примечательной поддержкой ускорения работы через задействование вычислений на стороне GPU (CUDA и OpenCL). Suricata также поддерживает многопоточность для оптимального задействования мощностей многоядерных систем и имеет развитые средства инспектирования различных видов трафика. В конфигурациях Suricata допустимо задействование базы сигнатур (http://www.snort.org/vrt), развиваемой проектом Snort, а также наборов правил Emerging Threats (http://rules.emergingthreats.net/) и Emerging Threats Pro (http://rules.emergingthreatspro.com/). Исходные тексты проекта распространяются под лицензией GPLv2.
Из новшеств (https://redmine.openinfosecfoundation.org/versions/85), добавленных в Suricata 3.1, можно отметить:- По умолчанию для обработки регулярных выражений в одиночных и групповых шаблонах применяется высокопроизводительный движок hyperscan (https://github.com/01org/hyperscan), если он установлен в системе;
- Переписан движок обнаружения и упрощена группировка правил, что положительно сказалось на производительности, привело к сокращению потребления памяти и уменьшению времени запуска;
- Добавлена экспериментальная поддержка механизма захвата пакетов tpacket-v3, работающего через сокет AF_PACKET;
- Повышено удобство использования NETMAP во FreeBSD;- Реорганизован набор предлагаемых по умолчанию настроек;
- Библиотека libhtp обновлена до выпуска 0.5.20;
- Добавлено новое ключевое слово tls_sni, предназначенного для сопоставления имён в TLS SNI;- Значительно упрощена организация блокировок;
- Внесены оптимизации в декодировщики TCP и IPv6;
- Добавлена опция для применения fuzzing-тестов AFL.
Особенности Suricata:
- Использование для вывода результатов проверки унифицированного формата Unified2 (http://searchsecuritychannel.techtarget.com/tip/0,289483,sid97_gci1339679,00.html), также используемого проектом Snort, что позволяет использовать стандартные инструменты для анализа, такие как barnyard2 (http://www.securixlive.com/barnyard2/index.php). Возможность интеграции с продуктами BASE, Snorby, Sguil и SQueRT. Поддержка вывода в формате PCAP;
- Поддержка автоматического определения протоколов (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и т.п.), позволяющая оперировать в правилах только типом протокола, без привязки к номеру порта (например, блокировать HTTP трафик на нестандартном порту). Наличие декодировщиков для протоколов HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP и SSH;
- Мощная система анализа HTTP-трафика, использующая для разбора и нормализации HTTP-трафика специальную библиотеку HTP, созданную автором проекта Mod_Security. Доступен модуль для ведения подробного лога транзитных HTTP пересылок, лог сохраняется в стандартном формате
Apache. Поддерживается извлечение и проверка передаваемых по протоколу HTTP файлов. Поддержка разбора сжатого контента. Возможность идентификации по URI, Cookie, заголовкам, user-agent, телу запроса/ответа;
- Поддержка различных интерфейсов для перехвата трафика, в том числе NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Возможен анализ уже сохранённых файлов в формате PCAP;
- Высокая производительность, способность обрабатывать на обычном оборудовании потоки до 10 гигабит/cек.
- Высокопроизводительный механизм сопоставления по маске с большими наборами IP адресов. Поддержка выделение контента по маске и регулярным выражениям. Выделение файлов из трафика, в том числе их идентификация по имени, типу или контрольной сумме MD5.- Возможность использования переменных в правилах: можно сохранить информацию из потока и позднее использовать ее в других правилах;
- Использование формата YAML в файлах конфигурации, что позволяет сохранить наглядность при легкости машинной обработки;
- Полная поддержка IPv6;
- Встроенный движок для автоматической дефрагментации и пересборки пакетов, позволяющий обеспечить корректную обработку потоков, независимо от порядка поступления пакетов;
- Поддержка протоколов туннелирования: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
- Поддержка декодирования пакетов: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
- Режим ведения лога ключей и сертификатов, фигурирующих в рамках соединений TLS/SSL;
- Возможность написания скриптов на языке Lua для обеспечения расширенного анализа и реализации дополнительных возможностей, необходимых для определения видов трафика, для которых не достаточно стандартных правил.
URL: https://suricata-ids.org/2016/06/20/suricata-3-1-released
Новость: http://www.opennet.me/opennews/art.shtml?num=44628
Тот момент, когда ПО явно используется и во благо и во вред.
Тот момент, когда анон опять говорит глупость.
Компонент "СОВ" (Система обнаружения вторжений) в железках на базе Континент 4.0 построен как раз на основе suricata.
А что во вред-то?
DPI у првайдеров?
пару раз мутность такая проскакивала за последние лет пять, что молСкажи мне кто твой спонсор... и я скажу кто ты!
Вроде бы www.defense.gov грантами посыпает сурикату... ну и самое что людей не претит - это dot gov. И Сноуден как раз обрисовался на фоне с Джулианом Ассанджем по irc обсуждают побег Ассанджа по проливу в Европу и дальнейший схрон в юго-восточной Европе, где-нибудь в степях Украины...
Намекает, что теперь значительно затруднилось использование эксплойтов находящихся в общем доступе