Software-update: Suricata 3.1

De eerste major-uitgave sinds versie 3.0 van Suricata is uitgekomen en draagt versienummer 3.1. Suricata is een opensource-network intrusion detection system (IDS), intrusion prevention system (IPS) en network security monitoring engine. Het kan worden gebruikt om netwerkverkeer te monitoren en een systeembeheerder een waarschuwing te geven als er iets verdachts wordt gesignaleerd. De ontwikkeling wordt overzien door de Open Information Security Foundation, met hulp van de community en diverse fabrikanten. De met het op json gebaseerd logsysteem Eve verzamelde data kan onder meer met Logstash worden gebruikt om zo informatie grafisch weer te geven. De release notes voor versie 3.1 kunnen hieronder worden gevonden.

Suricata 3.1 released!

We’re proud to announce Suricata 3.1.

This release brings significant improvements on the performance side:

• Hyperscan integration for Multi Pattern Matcher and Single Pattern Matcher. If installed, Hyperscan is now the default.
• Rewrite of the detection engine, simplifying rule grouping. This improves performance, while reducing memory usage and start up time in many scenarios.

Packet capture got a lot of attention:

• AF_PACKET support for tpacket-v3 (experimental)
• NETMAP usability improvements, especially on FreeBSD

Config:

• Reorganised default configuration layout provides for intuitive and easy set up.

This release also comes with libhtp 0.5.20, in which we address a number of issues Steffen Ullrich of HTTP Evader reported.

A new keyword ‘tls_sni’ was added, including MPM support. It allows matching on the TLS SNI field.

Other than that, lots of clean ups and optimizations:

• locking has been much simplified
• TCP and IPv6 decoder optimizations
• unittest clean ups
• AFL fuzz testing options were added

Have a look at the full change log

Logstash Kibana gevoed met informatie van Suricata met json-output.

Versienummer	3.1
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, BSD, macOS, UNIX, Windows Vista, Windows 8, Windows 10
Website	Suricata
Download	http://suricata-ids.org/download/
Licentietype	GPL

Reacties (7)

[isene]

Op dit moment draai ik nog fail2ban met een custom dashboard, wat ook zeer goed werkt.
Als ik dit zou gaan gebruiken, wat zou ik met Suricata meer kunnen? En is het net zo resource effiecient als fail2ban?

[Verwijderd]

Het zijn twee compleet andere systemen.

Suricata is bedoeld als IDS/IPS. Je stuurt het netwerkverkeer door de machine voor inspectie en eventueel ingrijpen (Afhankelijk van of je intrusion detection of intrustion prevention gebruikt). Je maakt hier gebruik van voornamelijk signature-based scanning voor allerhande exploits, etc.

Fail2ban kijkt "enkel" naar gefaalde inlogpogingen en deelt hier een eventuele IPtables ban uit aan de offending host.

[SED]

Beide leunen zwaar op (ip)tables. Dus de verschillen zullen vast vooral in de aanpak zitten en de wijze waarop rapportages gemaakt worden.
Hier een fraai startpunt:
https://forum.pfsense.org/index.php?topic=78062.0

[Verwijderd]

IRC: #suricata @ freenode

http://webchat.freenode.net/?channels=suricata

[kevinr1]

Dat plaatje ziet eruit als een Kibana dashboard.
https://www.elastic.co/jp...t-4.42.52-PM-1024x557.png

[noidea_2]

Wat ook netjes vermeld staat onder het plaatje: "Logstash Kibana gevoed met informatie van Suricata met json-output."