Suricata

Novità della versione nella versione:

• Funzione # 2245: decodificatore per traffico ieee802.1AH
• Bug # 798: stats.log in yaml config - aggiungi l'opzione - mancante
• Bug # 891: detect-engine.profile non sbaglia in valori errati - suricata.yaml
• Bug # 961: max analisi dei pacchetti in sospeso
• Bug # 1185: napatech: cppcheck warning
• Bug # 2215: eventi persi scrivendo su unix socket
• Bug # 2230: valgrind memcheck - 4.0.0-dev (rev 1180687)
• Bug # 2250: rilevare: miscelazione di byte_extract e isdataat porta a FP e FN
• Bug # 2263: le corrispondenze del contenuto vengono ignorate quando si utilizza dns_query sul traffico udp
• Bug # 2274: ParseSizeString in util-misc.c: Null-pointer dereference
• Bug # 2275: ConfGetInt in conf.c: NULL-pointer dereference
• Bug # 2276: conf: Null-pointer dereference in CoredumpLoadConfig
• Bug # 2293: regole: profondità & lt; regole del contenuto non respinte
• Bug # 2324: segfault in http_start (4.0.x)
• Bug # 2325: Surfaux segfaults su ICMP e controllo di flusso (4.0.x)

Novità nella versione 4.0.1:

• Rilevamento migliorato:
• Sulla base del prezioso feedback dei team di scrittura delle regole sulle minacce emergenti e le tecnologie positive, abbiamo aggiunto e migliorato molte parole chiave per le regole per l'ispezione di HTTP, SSH e altri protocolli. Le aggiunte TLS sono state fornite da Mats Klepsland presso NorCERT, tra cui decodifica, registrazione e corrispondenza su numeri seriali TLS. Inoltre, Suricata ora consente agli autori di regole di specificare chi è il bersaglio in una firma. Queste informazioni vengono utilizzate nella registrazione EVE JSON per fornire più contesto con gli avvisi.
• Migliorato TLS, aggiunto NFS:
• Altro sul lato TLS: una nuova importante funzionalità è il supporto per STARTTLS in SMTP e FTP. Le sessioni TLS verranno ora registrate in questi casi. Più bontà da Mats Klepsland. Inoltre, la registrazione della ripresa della sessione TLS è ora supportata grazie al lavoro di Ray Ruvinskiy. Ulteriori miglioramenti della registrazione TLS sono stati effettuati da Paulo Pacheco.
• La decodifica, la registrazione e l'estrazione dei file NFS sono stati aggiunti come parte del supporto sperimentale di Rust. Continua a leggere per ulteriori informazioni su Rust.
• Altro EVE JSON:
• EVE viene esteso in diversi modi ...
• in caso di traffico incapsulato vengono registrati sia gli indirizzi IP interni che esterni e le porte
• la funzione 'vars' registra i flussi e altri var. Questo può anche essere usato per registrare i dati estratti dal traffico usando un'istruzione PCRE nelle regole
• EVE ora può essere ruotato in base al tempo
• EVE è stato esteso per registrare facoltativamente la richiesta HTTP e / o gli organismi di risposta
• il record del flusso (parziale) viene aggiunto ai record degli avvisi.
• La funzione 'vars' è uno dei principali miglioramenti qui, poiché ora è possibile che una firma estrae accuratamente le informazioni per la registrazione. Ad esempio, una firma può estrarre una versione del software pubblicizzata o altre informazioni come il destinatario di un'e-mail. [Https://blog.inliniac.net/2016/12/20/suricata-bits-ints-and-vars/]
• Primo passo verso un futuro più sicuro:
• Questa è la prima versione in cui abbiamo implementato parti nel linguaggio di Rust usando il framework di pars del Nom. Questo lavoro è ispirato a quello di Pierre Chiffliers (ANSSI), parla a SuriCon 2016 (pdf). Compilando -enable-rust otterrai un parser NFS di base e una re-implementazione del parser DNS. Il feedback su questo è molto apprezzato.
• Il supporto di Rust è ancora sperimentale, poiché stiamo continuando a esplorare come funziona, come funziona e cosa ci vorrà per sostenerlo nella comunità. Inoltre abbiamo incluso i parser di Pierre Chiffliers Rust. Questo usa "crate" del parser esterno di Rust ed è abilitato usando -enable-rust-experimental. Inizialmente questo aggiunge un parser NTP.
• Sotto i Cappucci:
• È incluso un importante aggiornamento del motore di flusso TCP. Ciò dovrebbe portare a prestazioni migliori e meno configurazione, specialmente in modalità IPS. Sono stati eseguiti i primi passi nel recupero del GAP TCP, con implementazioni per DNS e NFS.
• Per gli sviluppatori, questa versione rende molto più semplice estendere il motore di rilevamento con parole chiave ad alte prestazioni. L'aggiunta di una nuova parola chiave ad alte prestazioni utilizzando la corrispondenza multi pattern ora richiede solo poche righe di codice.
• Documentazione:
• David Wharton di SecureWorks ha creato una sezione nella documentazione per gli scrittori di regole che hanno uno sfondo in Snort. Documenta le modifiche rilevanti per la scrittura delle regole.
• Passaggi successivi:
• Sulla base del feedback che otterremo, ci aspettiamo di fare una versione 4.0.1 in un mese circa. Quindi inizieremo a lavorare sulla prossima versione principale, che è 4.1. Questo è previsto per il tardo autunno, ETA prima di SuriCon a Praga.