The OpenNET Project / Index page

[ новости /+++ | форум | теги | ]

форумы  помощь  поиск  регистрация  майллист  вход/выход  слежка  RSS
"Релиз системы обнаружения атак Suricata 2.0"
Вариант для распечатки  
Пред. тема | След. тема 
Форум Разговоры, обсуждение новостей
Изначальное сообщение [ Отслеживать ]

"Релиз системы обнаружения атак Suricata 2.0"  +/
Сообщение от opennews on 25-Мрт-14, 21:52 
Организация OISF (Open Information Security Foundation) представила (http://suricata-ids.org/2014/03/25/suricata-2-0-available/) релиз системы обнаружения и предотвращения сетевых вторжений Suricata 2.0 (http://suricata-ids.org/). Система отличается поддержкой ускорения работы через задействование вычислений на стороне GPU (CUDA и OpenCL), поддерживает многопоточность для оптимального задействования мощностей многоядерных систем и имеет развитые средства инспектирования различных видов трафика. В конфигурациях Suricata допустимо задействование базы сигнатур (http://www.snort.org/vrt), развиваемой проектом  Snort, а также наборов правил Emerging Threats (http://rules.emergingthreats.net/) и Emerging Threats Pro (http://rules.emergingthreatspro.com/). Исходные тексты проекта распространяются под лицензией GPLv2.

Из новшеств, добавленных в Suricata 2.0, можно отметить:

-  Реализован Eve log, позволяющий сформировать вывод событий в формате JSON для предупреждений, HTTP, DNS, SSH, TLS  и файлов. Поддержка JSON существенно упрощает интеграцию Suricata со сторонними приложениями, такими как системы мониторинга. В качестве примера приводится (https://redmine.openinfosecfoundation.org/projects/suricata/...) интеграция с системой визуализации логов Kibana (http://www.elasticsearch.org/overview/kibana/);


<center><a href="http://idsips.files.wordpress.com/2014/03/kibana300.png"... src="http://www.opennet.me/opennews/pics_base/0_1395760720.png" style="border-style: solid; border-color: #e9ead6; border-width: 15px;max-width:100%;" title="" border=0></a></center>

-  Режим работы NSM (https://redmine.openinfosecfoundation.org/projects/suricata/...) (Network security monitor), при котором не активен движок определения атак. Режим применяется для мониторинга и ведения лога, отражающего запросы HTTP, DNS и т.п.


-  Добавлен парсер DNS и модуль ведения логов DNS;
-  Добавлена опция для включения/выключения отдельных модулей инспектирования протоколов уровня приложений;
-  Поддержка включения файлов в формате Yaml;
-  В модуле Unified2 добавлена поддержка  XFF (X-Forwarded-For);
-  Возможность вывода лога http.log в формате, идентичном логу http-сервера Apache;
-  Поддержка VLAN flow и VLAN defrag. Обеспечение обработки QinQ VLAN;
-  Добавлен счётчик некорректных пакетов;
-  Поддержка libhtp 0.5.x;
-  Поддержка сжатия  Deflate для тела ответов HTTP;
-  Добавлен API для работы с хранилищем;
-  В системе профилирования обеспечен вывод статистики по отдельным ключевым словам;
-  Существенно увеличена масштабируемость системы;
  
-  Улучшение поддержки AF_PACKET и PF_RING;
-  Улучшение обработки ICMPv6.


Особенности Suricata:


-  Использование  для вывода результатов проверки унифицированного формата Unified2 (http://searchsecuritychannel.techtarget.com/tip/0,289483,sid...), также используемого проектом Snort, что позволяет использовать стандартные инструменты для анализа, такие как barnyard2 (http://www.securixlive.com/barnyard2/index.php). Возможность интеграции с продуктами BASE, Snorby, Sguil и SQueRT. Поддержка вывода в формате PCAP;

-   Поддержка автоматического определения протоколов (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и т.п.), позволяющая оперировать в правилах только типом протокола, без привязки к номеру порта (например, блокировать HTTP трафик на нестандартном порту). Наличие декодировщиков для протоколов HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP и SSH;

-  Мощная система анализа HTTP-трафика, использующая для разбора и нормализации HTTP-трафика специальную библиотеку HTP, созданную автором проекта Mod_Security. Доступен модуль для ведения подробного лога транзитных HTTP пересылок, лог сохраняется в стандартном формате
Apache. Поддерживается извлечение и проверка передаваемых по протоколу HTTP файлов. Поддержка разбора сжатого контента. Возможность идентификации по URI, Cookie, заголовкам, user-agent, телу запроса/ответа;


-  Поддержка различных интерфейсов для перехвата трафика, в том числе NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Возможен анализ уже сохранённых файлов в формате PCAP;


-  Высокая производительность, способность обрабатывать на обычном оборудовании потоки до 10 гигабит/cек.


-  Высокопроизводительный механизм сопоставления по маске с большими наборами IP адресов. Поддержка выделение контента по маске и регулярным выражениям. Выделение файлов из трафика, в том числе их идентификация по имени, типу или контрольной сумме MD5.

-  Возможность использования переменных в правилах: можно сохранить информацию из потока и позднее использовать ее в других правилах;

-  Использование формата  YAML в файлах конфигурации, что позволяет сохранить наглядность при легкости машинной обработки;

-  Полная поддержка IPv6;

-  Встроенный движок для автоматической дефрагментации и пересборки пакетов, позволяющий обеспечить корректную обработку потоков, независимо от порядка поступления пакетов;

-  Поддержка протоколов туннелирования: Teredo, IP-IP, IP6-IP4,   IP4-IP6, GRE;

-  Поддержка декодирования пакетов: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;

-  Режим ведения лога ключей и сертификатов, фигурирующих в рамках соединений TLS/SSL;

-  Возможность написания скриптов на языке Lua для обеспечения расширенного анализа и реализации дополнительных возможностей, необходимых для определения видов трафика, для которых не достаточно стандартных правил.

URL: http://suricata-ids.org/2014/03/25/suricata-2-0-available/
Новость: http://www.opennet.me/opennews/art.shtml?num=39401

Ответить | Правка | Cообщить модератору

Оглавление

Сообщения по теме [Сортировка по времени | RSS]

Часть нити удалена модератором

4. "Релиз системы обнаружения атак Suricata 2.0"  +/
Сообщение от Аноним (??) on 25-Мрт-14, 22:24 
Закрытая проприертарная блобинка отныне.
Ответить | Правка | Наверх | Cообщить модератору

11. "Релиз системы обнаружения атак Suricata 2.0"  +/
Сообщение от Аноним (??) on 26-Мрт-14, 08:07 
Внимательно новость читал?

> Исходные тексты проекта распространяются под лицензией GPLv2.

Ответить | Правка | ^ к родителю #4 | Наверх | Cообщить модератору

6. "Релиз системы обнаружения атак Suricata 2.0"  +/
Сообщение от Аноним (??) on 25-Мрт-14, 22:30 
Надо поюзать, что за зверь этот Suricata.
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

12. "Релиз системы обнаружения атак Suricata 2.0"  +/
Сообщение от Аноним (??) on 26-Мрт-14, 08:09 
> Надо поюзать, что за зверь этот Suricata.

Для начала возьми Smooth-Sec.

Ответить | Правка | ^ к родителю #6 | Наверх | Cообщить модератору

7. "Релиз системы обнаружения атак Suricata 2.0"  +/
Сообщение от Аноним (??) on 25-Мрт-14, 22:40 
А вот есть ли хоть что-нибудь, что позволяет из коробки детектировать/блокировать TeamViewer?
Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

8. "Релиз системы обнаружения атак Suricata 2.0"  +/
Сообщение от vlikhachev (ok) on 25-Мрт-14, 23:02 
> А вот есть ли хоть что-нибудь, что позволяет из коробки детектировать/блокировать TeamViewer?

Любой дистрибутив Linux, если голова и руки - из коробки.
Иначе нанять человека с головой и руками, и будет Вам благо...

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

9. "Релиз системы обнаружения атак Suricata 2.0"  +/
Сообщение от Анонимов on 25-Мрт-14, 23:14 
Весь трафик к/от хостов из *.teamviewer.com обрубите и все ок будет.
Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

13. "Релиз системы обнаружения атак Suricata 2.0"  +/
Сообщение от Alexander (??) on 26-Мрт-14, 10:04 
А точнее к/от .*master.*.teamviewer.com и .*server.*.teamviewer.com, остальное можно оставить.
Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

15. "Релиз системы обнаружения атак Suricata 2.0"  +/
Сообщение от Andrew Kolchoogin (ok) on 26-Мрт-14, 18:47 
Windows?

Групповая политика в AD, запрещающая запускать все неподписанные исполняемые файлы и файл teamviewer.exe, подписанный GFI-ным ключом.

Linux?

SELinux Policy, запрещающая запускать файлы из любых директорий, кроме trusted hierarchy.

Ответить | Правка | ^ к родителю #7 | Наверх | Cообщить модератору

14. "Релиз системы обнаружения атак Suricata 2.0"  +/
Сообщение от kay (ok) on 26-Мрт-14, 10:26 
> Существенно увеличена масштабируемость системы;

Вот побольше бы информации на эту тему.

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

16. "Релиз системы обнаружения атак Suricata 2.0"  +/
Сообщение от Аноним (??) on 30-Мрт-14, 23:15 
> способность обрабатывать на обычном оборудовании потоки до 10 гигабит/cек

что есть "обычное оборудование" с точки зрения сурикатоводов?

Ответить | Правка | ^ к родителю #0 | Наверх | Cообщить модератору

Архив | Удалить

Рекомендовать для помещения в FAQ | Индекс форумов | Темы | Пред. тема | След. тема




Партнёры:
PostgresPro
Inferno Solutions
Hosting by Hoster.ru
Хостинг:

Закладки на сайте
Проследить за страницей
Created 1996-2024 by Maxim Chirkov
Добавить, Поддержать, Вебмастеру