IDS/IPS Suricata 1.1rc1 lançado

[ Update - 04/11/2011 ]


Demorou mas chegou..  Suricata 1.1rc1 lançado:


http://www.openinfosecfoundation.org/index.php/component/content/article/138-suricata-11rc1-available


New features:

• extended HTTP request logging for use with (among other things) http_agent for Sguil (#38)
• AF_PACKET report drop stats on shutdown (#325)
• new counters in stats.log for flow and stream engines (#348)

Improvements:

• SMTP parsing code support for BDAT command (#347)
• HTTP URI normalization no longer converts to lowercase (#362)
• AF_PACKET works with privileges dropping now (#361)
• Prelude output for state matches (#264, #355)

Under the hood:

• update of the pattern matching code that should improve accuracy
• rule parser was made more strict (#295, #312)

Notable Fixes & Changes:

• multiple event suppressions for the same SID was fixed (#366)
• several accuracy fixes
• removal of the unified1 output plugins (#353)

Download: http://www.openinfosecfoundation.org/download/suricata-1.1rc1.tar.gz


[ Update - 01/07/2010 ]

A versão 1.0 do Suricata foi lançada hoje

Download:

http://www.openinfosecfoundation.org/download/suricata-1.0.0.tar.gz

Mais informações/Documentação em:

http://openinfosecfoundation.org/documentation/index.html

[ Update - 06/05/2010 ]

A versão "Release Candidate 1" do Suricata IDS (0.9.0) foi lançada hoje.

Download:

http://www.openinfosecfoundation.org/download/suricata-0.9.0.tar.gz

Mais informações (funcionalidades/melhorias):

http://malforge.com/node/31

[ Update - 19/04/2010 ]

Versão 0.8.2 lançada hoje traz novidades em estabilidade, baixo consumo de memória, melhoria de performance e novas funcionalidades - leia mais e baixe aqui.


[ Post Original - 20/02/10 ]


Há muitos anos o mercado de segurança busca inovações significativas na área de detecção de ataques, e muitos de nós sabemos das limitações e problemas relacionados à IDS/IPS com tecnologia desenvolvida há mais de uma década.


Estas questões foram bem exploradas no excelente post "Detection, Bandwidth, and Moore’s Law" do Mike Cloppert no blog do Sans Institute:

" (...) our ability to detect hostility is constrained by four fundamental factors: what we look for, how we look for it, the amount of data we need to sift through to find it, and the computational power available to execute said detections. It is the interdependence of these last components that stands to most immediately and severely impact our ability to analyze network traffic"

O próprio Cloppert cita algumas vantagens do Suricata como o multithreading, paralelismo e suporte a processament da GPU - que indubitavelmente é o estado da arte na solução de computação paralela.


No primeiro post do ano eu havia feito o seguinte comentário sobre o IDS/IPS Suricata:

A "Open Information Security Foundation" acaba de lançar a primeiríssima versão pública do SURICATA - um novo conceito em IDS open source que pretende revolucionar o mercado! O meu grande amigo e ex-colega de trabalho Breno Silva Pinto trabalha ativamente como desenvolvedor do projeto OISF - que é fundado pelo DHS/Department of Homeland Security americano.

Dentre as funcionalidades do Suricata, estão: Multi-Threading, Automatic Protocol Detection (HTTP,TLS,FTP, and SMB). HTTP Gzip Decompression, Standard Input Methods, Unified2 Compatibility, Flow Variables e HTTP Logging Module.

Voltando à carga - agora trazendo uma novidade em primeira mão - o Breno Silva Pinto - desenvolvedor ativo do projeto OISF/Suricata - escreveu um texto em português sobre as funcionalidades da novíssima versão do Suricata (0.8.1) - que foi lançada ontem:

Suricata 0.8.1 Released!

Uma nova versão do IDS/IPS Suricata foi lançada ontem.

Dentre as principais features estão:

- A engine está preparada para detectar os cores da cpu e se autoajustar para utiliza-los
- Libhtp incorporada a master tree
- Suporte experimental CUDA (NVIDIA). A maioria dos algoritmos de String Searh ainda estão sendo portados para utilizar CUDA.
- Suporte a win32
- Suporte FreeBSD/Mac OS X IPFW inline
- Várias opções no arquivo de configuração suricata.yaml para otimização da engine
- Vlan decoding

- Suporte a logs Prelude

- Vários memory issues corrigidos e cleanup do códígo feito

Alguns problemas já conhecidos :

- Algumas assinaturas ainda não podem ser usadas por ausência de suporte de keywords snort
- Muitas melhorias foram feitas para big endian, entretando ainda faltam alguns bugs a serem corrigidos
- Alguns problemas são esperados quando CUDA for utilizado em 64 bits.

Para maiores informações e download : http://www.openinfosecfoundation.org/


Bugs, dúvidas, novas features e sugestões podem ser enviadas para nosssas mail-lists : http://lists.openinfosecfoundation.org/mailman/listinfo


Abraços,
Breno Silva Pinto
breno.silva@gmail.com

Para mais informações, seguem algumas referências e reações recentes sobre esta promissora novidade na área de Detecção de Intrusões:

• OISF - Download do Suricata
• OISF - Anúncio oficial da versão 0.8.1 do Suricata
  
• Security Database - Suricata Next Generation IDS release 0.8.0 available
• Security Monks - Suricata: A Next Generation IDS/IPS Engine
• Sans Institute - A Call to Arms for Intrusion Detection Software Innovation