Релиз системы обнаружения атак Suricata 2.0
Организация OISF (Open Information Security Foundation) представила релиз системы обнаружения и предотвращения сетевых вторжений Suricata 2.0. Система отличается поддержкой ускорения работы через задействование вычислений на стороне GPU (CUDA и OpenCL), поддерживает многопоточность для оптимального задействования мощностей многоядерных систем и имеет развитые средства инспектирования различных видов трафика. В конфигурациях Suricata допустимо задействование базы сигнатур, развиваемой проектом Snort, а также наборов правил Emerging Threats и Emerging Threats Pro. Исходные тексты проекта распространяются под лицензией GPLv2. Из новшеств, добавленных в Suricata 2.0, можно отметить:
Реализован Eve log, позволяющий сформировать вывод событий в формате JSON для предупреждений, HTTP, DNS, SSH, TLS и файлов. Поддержка JSON существенно упрощает интеграцию Suricata со сторонними приложениями, такими как системы мониторинга. В качестве примера приводится интеграция с системой визуализации логов Kibana; 
Режим работы NSM (Network security monitor), при котором не активен движок определения атак. Режим применяется для мониторинга и ведения лога, отражающего запросы HTTP, DNS и т.п. Добавлен парсер DNS и модуль ведения логов DNS; Добавлена опция для включения/выключения отдельных модулей инспектирования протоколов уровня приложений; Поддержка включения файлов в формате Yaml; В модуле Unified2 добавлена поддержка XFF (X-Forwarded-For); Возможность вывода лога http.log в формате, идентичном логу http-сервера Apache; Поддержка VLAN flow и VLAN defrag. Обеспечение обработки QinQ VLAN; Добавлен счётчик некорректных пакетов; Поддержка libhtp 0.5.x; Поддержка сжатия Deflate для тела ответов HTTP; Добавлен API для работы с хранилищем; В системе профилирования обеспечен вывод статистики по отдельным ключевым словам; Существенно увеличена масштабируемость системы; Улучшение поддержки AF_PACKET и PF_RING; Улучшение обработки ICMPv6. Особенности Suricata:
Использование для вывода результатов проверки унифицированного формата Unified2, также используемого проектом Snort, что позволяет использовать стандартные инструменты для анализа, такие как barnyard2. Возможность интеграции с продуктами BASE, Snorby, Sguil и SQueRT. Поддержка вывода в формате PCAP; Поддержка автоматического определения протоколов (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и т.п.), позволяющая оперировать в правилах только типом протокола, без привязки к номеру порта (например, блокировать HTTP трафик на нестандартном порту). Наличие декодировщиков для протоколов HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP и SSH; Мощная система анализа HTTP-трафика, использующая для разбора и нормализации HTTP-трафика специальную библиотеку HTP, созданную автором проекта Mod_Security. Доступен модуль для ведения подробного лога транзитных HTTP пересылок, лог сохраняется в стандартном формате Apache. Поддерживается извлечение и проверка передаваемых по протоколу HTTP файлов. Поддержка разбора сжатого контента. Возможность идентификации по URI, Cookie, заголовкам, user-agent, телу запроса/ответа; Поддержка различных интерфейсов для перехвата трафика, в том числе NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Возможен анализ уже сохранённых файлов в формате PCAP; Высокая производительность, способность обрабатывать на обычном оборудовании потоки до 10 гигабит/cек. Высокопроизводительный механизм сопоставления по маске с большими наборами IP адресов. Поддержка выделение контента по маске и регулярным выражениям. Выделение файлов из трафика, в том числе их идентификация по имени, типу или контрольной сумме MD5. Возможность использования переменных в правилах: можно сохранить информацию из потока и позднее использовать ее в других правилах; Использование формата YAML в файлах конфигурации, что позволяет сохранить наглядность при легкости машинной обработки; Полная поддержка IPv6; Встроенный движок для автоматической дефрагментации и пересборки пакетов, позволяющий обеспечить корректную обработку потоков, независимо от порядка поступления пакетов; Поддержка протоколов туннелирования: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE; Поддержка декодирования пакетов: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN; Режим ведения лога ключей и сертификатов, фигурирующих в рамках соединений TLS/SSL; Возможность написания скриптов на языке Lua для обеспечения расширенного анализа и реализации дополнительных возможностей, необходимых для определения видов трафика, для которых не достаточно стандартных правил.
© OpenNet
