Software-update: Suricata 3.1.3

De tweede update voor versie 3.1 van Suricata is uitgekomen. Suricata is een opensource-network intrusion detection system (IDS), intrusion prevention system (IPS) en network security monitoring engine. Het kan worden gebruikt om netwerkverkeer te monitoren en een systeembeheerder een waarschuwing te geven als er iets verdachts wordt gesignaleerd. De ontwikkeling wordt overzien door de Open Information Security Foundation, met hulp van de community en diverse fabrikanten. De met het op json gebaseerd logsysteem Eve verzamelde data kan onder meer met Logstash worden gebruikt om zo informatie grafisch weer te geven. In deze uitgave zijn de volgende verbeteringen aangebracht:

Suricata 3.1.3 released!
This release improves DNS logging accuracy. Other than that it is mostly a collection of smaller fixes.This release fixes some important issues, so we highly recommend updating.

Changes

• Bug #1861: Suricata with multitenancy does not start in 3.1/3.1.1
• Bug #1889: Suricata doesn’t error on missing semicolon
• Bug #1910: libhtp 0.5.23 (3.1.x)
• Bug #1912: http.memcap reached condition can lead to dead lock
• Bug #1913: af-packet fanout detection broken on Debian Jessie
• Bug #1933: unix-command socket created with last character missing (3.1.x)
• Bug #1934: make install-full does not install tls-events.rules (3.1.x)
• Bug #1941: Can’t set fast_pattern on tls_sni content (3.1.x)
• Bug #1942: dns – back to back requests results in loss of response (3.1.x)
• Bug #1943: Check redis reply in non pipeline mode (3.1.x)

Logstash Kibana gevoed met informatie van Suricata met json-output.

Versienummer	3.1.3
Releasestatus	Final
Besturingssystemen	Windows 7, Linux, BSD, macOS, Windows 8, Windows 10
Website	Suricata
Download	https://suricata-ids.org/download/
Licentietype	Voorwaarden (GNU/BSD/etc.)

Reacties (11)

[Sugocy]

Netwerkleek speaking: Kan je dit dan direct installeren op je modem/router of vereist dit een actieve server in je netwerk?

[johnkeates]

Hangt van je router af. Als je een pfSense router met een i5 of beter hebt, een SSD, HDD, Intel NIC's en meer dan 4GB RAM gaat het wel lukken. Als je een modem van KPN of Ziggo hebt staan gaat het niet lukken.

Als je een server wil gebruiken moet je al het verkeer tappen, dan heb je weer een managed switch met port mirroring nodig. Maar dan kan je alleen luisteren en niet reageren, dus firewall regels instellen op basis van het verkeer kan dan nog steeds niet.

[Reactie gewijzigd door johnkeates op 24 juli 2024 08:02]

[Sugocy]

Weer wat geleerd! Mijn doel is het kunnen bekijken en herleiden van mijn internet/netwerk verkeer. Ik dacht, als op mijn modem/router actief het netwerk verkeer gemonitored word, het halve werk al gedaan is.

Ik blijf zoeken;) Maar een router/modem upgrade lijkt me vereist zo te horen.

Tweakerkriebels: kan zo een pfSense modem/systeem ook zelf gebouwd worden in combinatie met een NAS?

[Reactie gewijzigd door Sugocy op 24 juli 2024 08:02]

[tzunix]

Op de site van pfsense (en de bijbehorende forums) is heel veel te vinden over het bouwen van een pfsense 'white box', dus pfsense op commodity hardware. Ja dat kan dus. Eisen van de hardware hangen natuurlijk sterk af van wat je wil (wire-speed 1GBPS, met of zonder IDS, et cetera). Veel leesvoer, erg tweakerachtig .

[Chocola]

Als je eens concreet idee hebt over wat je wil kun je mij ook een PM sturen, ik wil je best helpen met het vinden van geschikte hardware/servertje voor een pfSense of OPNsense bak.

Veel troepapparaten van ISP's kun je trouwens in modem-only modus gebruiken (zonder routing). Dan kan de zelfbouwrouter het routinggedeelte gewoon volledig overnemen.

[MetalG]

Werkt nog steeds niet op pfsense 2.3.x, en ziet er ook niet zo goed uit aangezien dat geen prioriteit is voor Pfsense blijkbaar : )

[johnkeates]

Wat werkt niet op pfSense 2.3.x? Ik heb het met Suricata en Snort uit de standaard package repo draaien, en zelfs met een paar vieze hacks met Bro IDS. Bedoel je misschien inline line-rate interception? Want dat werkt inderdaad nog niet.

[MetalG]

Inderdaad die inline line-rate, das is toch wat ik las op de Pfsense fora

[johnkeates]

Maar dan heb je ook meteen het enige punt te pakken wat alleen met gespecialiseerde hardware en doelgerichte software (DPDK enz.) op te lossen is ;-)

[Verwijderd]

Let wel er is vaak wat vallen en opstaan als je de Suricata package installeert maar er valt hier veel over te lezen op de pfSense forums.

[himlims_]

lijkt me dat toch wel een servertje voor moet hebben, tenzij je sql enzo op je router kunt installeren