Обновлена система обнаружения сетевых атак Suricata 3.1

После шести месяцев разработки организация OISF (Open Information Security Foundation) представила релиз системы обнаружения и предотвращения сетевых вторжений Suricata 3.1, примечательной поддержкой ускорения работы через задействование вычислений на стороне GPU (CUDA и OpenCL).

Suricata также поддерживает многопоточность для оптимального задействования мощностей многоядерных систем и имеет развитые средства инспектирования различных видов трафика. В конфигурациях Suricata допустимо задействование базы сигнатур, развиваемой проектом Snort, а также наборов правил Emerging Threats и Emerging Threats Pro. Исходные тексты проекта распространяются под лицензией GPLv2, пишет opennet.ru.

Из новшеств, добавленных в Suricata 3.1, можно отметить:

  • По умолчанию для обработки регулярных выражений в одиночных и групповых шаблонах применяется высокопроизводительный движок hyperscan, если он установлен в системе;
  • Переписан движок обнаружения и упрощена группировка правил, что положительно сказалось на производительности, привело к сокращению потребления памяти и уменьшению времени запуска;
  • Добавлена экспериментальная поддержка механизма захвата пакетов tpacket-v3, работающего через сокет AF_PACKET;
  • Повышено удобство использования NETMAP во FreeBSD;
  • Реорганизован набор предлагаемых по умолчанию настроек;
  • Библиотека libhtp обновлена до выпуска 0.5.20;
  • Добавлено новое ключевое слово tls_sni, предназначенного для сопоставления имён в TLS SNI;
  • Значительно упрощена организация блокировок;
  • Внесены оптимизации в декодировщики TCP и IPv6;
  • Добавлена опция для применения fuzzing-тестов AFL.

Особенности Suricata:

  • Использование для вывода результатов проверки унифицированного формата Unified2, также используемого проектом Snort, что позволяет использовать стандартные инструменты для анализа, такие как barnyard2. Возможность интеграции с продуктами BASE, Snorby, Sguil и SQueRT. Поддержка вывода в формате PCAP;
  • Поддержка автоматического определения протоколов (IP, TCP, UDP, ICMP, HTTP, TLS, FTP, SMB и т.п.), позволяющая оперировать в правилах только типом протокола, без привязки к номеру порта (например, блокировать HTTP трафик на нестандартном порту). Наличие декодировщиков для протоколов HTTP, SSL, TLS, SMB, SMB2, DCERPC, SMTP, FTP и SSH;
  • Мощная система анализа HTTP-трафика, использующая для разбора и нормализации HTTP-трафика специальную библиотеку HTP, созданную автором проекта Mod_Security. Доступен модуль для ведения подробного лога транзитных HTTP пересылок, лог сохраняется в стандартном формате Apache. Поддерживается извлечение и проверка передаваемых по протоколу HTTP файлов. Поддержка разбора сжатого контента. Возможность идентификации по URI, Cookie, заголовкам, user-agent, телу запроса/ответа;
  • Поддержка различных интерфейсов для перехвата трафика, в том числе NFQueue, IPFRing, LibPcap, IPFW, AF_PACKET, PF_RING. Возможен анализ уже сохранённых файлов в формате PCAP;
  • Высокая производительность, способность обрабатывать на обычном оборудовании потоки до 10 гигабит/cек.
  • Высокопроизводительный механизм сопоставления по маске с большими наборами IP адресов. Поддержка выделение контента по маске и регулярным выражениям. Выделение файлов из трафика, в том числе их идентификация по имени, типу или контрольной сумме MD5.
  • Возможность использования переменных в правилах: можно сохранить информацию из потока и позднее использовать ее в других правилах;
  • Использование формата YAML в файлах конфигурации, что позволяет сохранить наглядность при легкости машинной обработки;
  • Полная поддержка IPv6;
  • Встроенный движок для автоматической дефрагментации и пересборки пакетов, позволяющий обеспечить корректную обработку потоков, независимо от порядка поступления пакетов;
  • Поддержка протоколов туннелирования: Teredo, IP-IP, IP6-IP4, IP4-IP6, GRE;
  • Поддержка декодирования пакетов: IPv4, IPv6, TCP, UDP, SCTP, ICMPv4, ICMPv6, GRE, Ethernet, PPP, PPPoE, Raw, SLL, VLAN;
  • Режим ведения лога ключей и сертификатов, фигурирующих в рамках соединений TLS/SSL;
  • Возможность написания скриптов на языке Lua для обеспечения расширенного анализа и реализации дополнительных возможностей, необходимых для определения видов трафика, для которых не достаточно стандартных правил.
Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

Оператор фейковой техподдержки Microsoft похитил у жертв $3 млн

Житель штата Северная Каролина обвиняется в организации мошеннической схемы, которая была замаскирована под деятельность техподдержки. Злоумышленнику за четыре года удалось обмануть американских граждан на общую сумму в $3 миллионов.

Согласно судебным документам, 24-телний Бишап Миттал создал компанию Capstone Technologies LLC, от лица которой вместе с подельником управлял множеством сайтов и операций.

Миттал с напарником покупали рекламу у Google и Bing, чтобы продвигать свои сайты в результатах поисковой выдачи. Также они приобрели у разработчиков авдаре доступ к всплывающим окнам.

Когда пользователь посещал их сайт, агрессивные рекламные окна блокировали браузер жертвы, утверждая, что компьютер заражен вредоносными программами. Большинство этих всплывающих окон были замаскированы под отправленные Microsoft уведомления.

Жертвам предлагалось связаться с техподдержкой. Согласно обвинительному заключению, пользователей соединяли с колл-центром, расположенным в Нью-Дели, Индия.

Операторы этого колл-центра действовали по отработанным сценариям, утверждая, что компьютер пользователя дает сбои из-за использования двух антивирусных программ в системе.

Чтобы устранить все проблемы, пользователи должны были заплатить суммы от $200 до $2 400. Деятельность преступников происходила в период с ноября 2014 года по август 2018 года.

Anti-Malware TelegramПодписывайтесь на канал "Anti-Malware" в Telegram, чтобы первыми узнавать о новостях и наших эксклюзивных материалах по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru