Компания Cisco опубликовала релиз Snort 2.9.11.0, свободной системы обнаружения и предотвращения атак, комбинирующей в себе методы сопоставления по сигнатурам, средства для инспекции протоколов и механизмы для выявления аномалий. Основные новшества: Реализована гибкая система распределения памяти для препроцессоров, освобождающая неиспользуемую или недавно использованную память при необходимости и позволяющая обойтись без перезапуска Snort при изменении распределения памяти; Добавлена поддержка хранения имён файлов в Unicode для протокола SMB; Для определения и блокирования BitTorrent представлена система версионирования hostPortCache для неизвестных типов потоков в AppID; Улучшен разбор метаданых RTSP для определения RTSP-трафика через Windows Media; Увеличена производительность в ситуациях достижения лимита на интенсивность SYN-пакетов и начала блокировки превышающего лимит трафика; Для платформы FreeBSD реализована возможность использования unix-сокетов для передачи команд рабочим процессам и
Организация OISF (Open Information Security Foundation) представила релиз системы обнаружения и предотвращения сетевых вторжений Suricata 4.0. Suricata обеспечивает ускорения работы через задействование вычислений на стороне GPU (CUDA и OpenCL), поддерживает многопоточность для оптимального задействования мощностей многоядерных систем и имеет развитые средства инспектирования различных видов трафика. В конфигурациях Suricata допустимо задействование базы сигнатур, развиваемой проектом Snort, а также наборов правил Emerging Threats и Emerging Threats Pro. Исходные тексты проекта распространяются под лицензией GPLv2. Ветка Suricata 4.0 примечательна переходом к реализации некоторых компонентов на языке Rust с использованием библиотеки для создания парсеров Nom. В частности на языке Rust предложены новые парсеры для разбора трафика NFS, NTP и DNS, которые включаются при сборке Suricata с использованием опций "--enable-rust" и "--enable-rust-experimental". Поддержка компонентов на Rust пока носит
Компания Cisco опубликовала новый значительный релиз Snort 2.9.9.0, свободной системы обнаружения и предотвращения атак, комбинирующей в себе методы сопоставления по сигнатурам, средства для инспекции протоколов и механизмы для выявления аномалий. Основные новшества: Расширено число опций правил с которыми допустимо использование операции byte_math; В выражении byte_test добавлена поддержка операций bitmask и from_end; Добавлена утилита Buffer Dump для отслеживания использования всех буферов в процессе инспектирования в snort. Утилита собирается при указании опции "configure --enable-buffer-dump"; Добавлены новые предупреждения HTTP-препроцессора, позволяющие выявить запросы с указанием нескольких полей с размером контента и кодировкой контента (например, при подстановке фиктивных ответов провайдером); Реализовано определение SMTP-трафика, передаваемого поверх шифрованного канала связи (SMTPS).
После почти двух лет разработки организация OISF (Open Information Security Foundation) представила релиз системы обнаружения и предотвращения сетевых вторжений Suricata 3.0, примечательной поддержкой ускорения работы через задействование вычислений на стороне GPU (CUDA и OpenCL). Suricata также поддерживает многопоточность для оптимального задействования мощностей многоядерных систем и имеет развитые средства инспектирования различных видов трафика. В конфигурациях Suricata допустимо задействование базы сигнатур, развиваемой проектом Snort, а также наборов правил Emerging Threats и Emerging Threats Pro. Исходные тексты проекта распространяются под лицензией GPLv2. Из новшеств, добавленных в Suricata 3.0, можно отметить: Улучшены средства детектирования атак, в том числе поддержка xbits для выявления эксплоитов, передаваемых через несколько потоков, и возможность использования одного сервера для обработки правил выявления атак для нескольких клиентов (multi tenancy). Представлены расширенные средства
Компания Cisco анонсировала готовность для альфа-тестирования свободной системы предотвращения атак Snort 3.0, также известной как проект Snort++. Работа над Snort 3 начата в 2005 году, но была заброшена. Работы возобновились в 2013 году после перехода Snort в руки компании Cisco. Идеи по усовершенствованию, переосмысление концепции и архитектуры было невозможно вписать в текущую кодовую базу, что привело к созданию новой ветки. Особенности первого альфа-выпуска Snort 3.0: Поддержка многопоточной обработки пакетов, допускающей одновременное выполнение нескольких нитей с обработчиками пакетов; Организация совместного доступа разных обработчиков к общей конфигурации и таблице атрибутов; Использование упрощённой конфигурации с поддержкой скриптинга; Модульная система для подключения базовых компонентов в форме плагинов; Автоматическое определение работающих служб, избавляющее от необходимости ручного указания активных сетевых портов; Возможность привязки буферов в правилах (sticky buffers); Система
Организация OISF (Open Information Security Foundation) представила релиз системы обнаружения и предотвращения сетевых вторжений Suricata 2.0. Система отличается поддержкой ускорения работы через задействование вычислений на стороне GPU (CUDA и OpenCL), поддерживает многопоточность для оптимального задействования мощностей многоядерных систем и имеет развитые средства инспектирования различных видов трафика. В конфигурациях Suricata допустимо задействование базы сигнатур, развиваемой проектом Snort, а также наборов правил Emerging Threats и Emerging Threats Pro. Исходные тексты проекта распространяются под лицензией GPLv2. Из новшеств, добавленных в Suricata 2.0, можно отметить: Реализован Eve log, позволяющий сформировать вывод событий в формате JSON для предупреждений, HTTP, DNS, SSH, TLS и файлов. Поддержка JSON существенно упрощает интеграцию Suricata со сторонними приложениями, такими как системы мониторинга. В качестве примера приводится интеграция с системой визуализации логов Kibana; Режим
Компания Cisco представила новую открытую платформу для разработки межсетевых экранов уровня приложений - OpenAppID, позволяющую определять использование протоколов уровня приложений и выявлять в трафике активность конкретных серверных, клиентских и web-приложений. Открытие OpenAppID подтверждает обещание Cisco о намерении усилить участие в открытых проектах и сохранить налаженные каналы взаимодействия с сообществом после поглощения компании Sourcefire и получения контроля над свободными продуктами ClamAV и Snort. Основу OpenAppID составляет основанный на Lua язык и набор функций, предназначенные для описания признаков использования протоколов или приложений (в большинстве случаев определяется специфичный для приложения шаблон и описание в каком трафике его нужно искать). Язык даёт возможность создавать детекторы, которые на основании имеющихся правил сопоставляют трафик с идентификаторами приложений. Для создания и публикации детекторов проектом предоставляется набор инструментов. Для анализа трафика
Компания Cisco опубликовала новый значительный релиз Snort 2.9.6.0, свободной системы обнаружения и предотвращения атак, комбинирующей в себе методы сопоставления по сигнатурам, средства для инспекции протоколов и механизмы для выявления аномалий. Основные новшества: Добавлена возможность захвата и сохранения файлов, передаваемых с использованием протоколов HTTP, FTP, SMTP, POP, IMAP и SMB; В препроцессоре DCERPC реализована поддержка специфичной обработки файлов, передаваемых через SMB; В используемой в правилах опции byte_test добавлена поддержка операторов ">=" и "
Увидел свет релиз SmoothSec 3.2, дистрибутива на пакетной базе Debian GNU/Linux 7 "Wheezy", предоставляющего полностью готовое и преднастроенное окружение для развёртывания систем обнаружения и предотвращения атак. В состав включены такие приложения, как Snorby, Snort, Suricata, PulledPork и Pigsty. Настройка первичной конфигурации автоматизирована и предельно упрощена, что позволяет создавать системы IDS/IPS даже начинающими администраторами. Сборки дистрибутива подготовлены для архитектур i386 (789 Мб) и amd64 (714 Мб). Кроме обновления версий компонентов дистрибутива (Snort 2.9.5.3, Suricata 1.4.5, MariaDB 5.5.32, Pigsty 0.1.5), в систему интегрирован Sagan HIDS (Host Instruction Detection System), позволяющий выявлять аномалии на уровне протокола ARP. В состав включена порция новых утилит: Arpwatch, tcpxtract, ngrep, nast, ipgrab, tshark, justniffer, python-impacket, python idstools, python tcpextract, greppcap.py, percona-toolkit‎ и percona-xtrabackup.
Представлен релиз Snort 2.9.3.0, свободной системы обнаружения и предотвращения атак, комбинирующей в себе методы сопоставления по сигнатурам, средства для инспекции протоколов и механизмы для выявления аномалий. Основные новшества: Реализована архитектура плагинов для динамического формирования вывода, позволяющая разработчикам создавать свои механизмы для журналирования событий и архивирования пакетов с данными; В правилах flowbit появилась возможность логического объединения в рамках одного правила операций с отдельными битами через связующие логические операторы, что позволяет использовать правила flowbits для нескольких групп; Обновлён препроцессор dcerpc2, в котором увеличена точность работы и обеспечена поддержка различных операционных систем при обработке SMB-пакетов; В препроцессоре расчёта репутации добавлена поддержка белых и доверительных списков; В препроцессоре smtp расширены возможности по ведению логов; Оптимизирована обработка вложений в email и уменьшено потребление памяти;