IDS/IPS Suricata 1.1rc1 lançado

[ Update - 04/11/2011 ]


Demorou mas chegou..  Suricata 1.1rc1 lançado:


http://www.openinfosecfoundation.org/index.php/component/content/article/138-suricata-11rc1-available


New features:

• extended HTTP request logging for use with (among other things) http_agent for Sguil (#38)
• AF_PACKET report drop stats on shutdown (#325)
• new counters in stats.log for flow and stream engines (#348)

Improvements:

• SMTP parsing code support for BDAT command (#347)
• HTTP URI normalization no longer converts to lowercase (#362)
• AF_PACKET works with privileges dropping now (#361)
• Prelude output for state matches (#264, #355)

Under the hood:

• update of the pattern matching code that should improve accuracy
• rule parser was made more strict (#295, #312)

Notable Fixes & Changes:

• multiple event suppressions for the same SID was fixed (#366)
• several accuracy fixes
• removal of the unified1 output plugins (#353)

Download: http://www.openinfosecfoundation.org/download/suricata-1.1rc1.tar.gz


[ Update - 01/07/2010 ]

A versão 1.0 do Suricata foi lançada hoje

Download:

http://www.openinfosecfoundation.org/download/suricata-1.0.0.tar.gz

Mais informações/Documentação em:

http://openinfosecfoundation.org/documentation/index.html

[ Update - 06/05/2010 ]

A versão "Release Candidate 1" do Suricata IDS (0.9.0) foi lançada hoje.

Download:

http://www.openinfosecfoundation.org/download/suricata-0.9.0.tar.gz

Mais informações (funcionalidades/melhorias):

http://malforge.com/node/31

[ Update - 19/04/2010 ]

Versão 0.8.2 lançada hoje traz novidades em estabilidade, baixo consumo de memória, melhoria de performance e novas funcionalidades - leia mais e baixe aqui.


[ Post Original - 20/02/10 ]


Há muitos anos o mercado de segurança busca inovações significativas na área de detecção de ataques, e muitos de nós sabemos das limitações e problemas relacionados à IDS/IPS com tecnologia desenvolvida há mais de uma década.


Estas questões foram bem exploradas no excelente post "Detection, Bandwidth, and Moore’s Law" do Mike Cloppert no blog do Sans Institute:

" (...) our ability to detect hostility is constrained by four fundamental factors: what we look for, how we look for it, the amount of data we need to sift through to find it, and the computational power available to execute said detections. It is the interdependence of these last components that stands to most immediately and severely impact our ability to analyze network traffic"

O próprio Cloppert cita algumas vantagens do Suricata como o multithreading, paralelismo e suporte a processament da GPU - que indubitavelmente é o estado da arte na solução de computação paralela.


No primeiro post do ano eu havia feito o seguinte comentário sobre o IDS/IPS Suricata:

A "Open Information Security Foundation" acaba de lançar a primeiríssima versão pública do SURICATA - um novo conceito em IDS open source que pretende revolucionar o mercado! O meu grande amigo e ex-colega de trabalho Breno Silva Pinto trabalha ativamente como desenvolvedor do projeto OISF - que é fundado pelo DHS/Department of Homeland Security americano.

Dentre as funcionalidades do Suricata, estão: Multi-Threading, Automatic Protocol Detection (HTTP,TLS,FTP, and SMB). HTTP Gzip Decompression, Standard Input Methods, Unified2 Compatibility, Flow Variables e HTTP Logging Module.

Voltando à carga - agora trazendo uma novidade em primeira mão - o Breno Silva Pinto - desenvolvedor ativo do projeto OISF/Suricata - escreveu um texto em português sobre as funcionalidades da novíssima versão do Suricata (0.8.1) - que foi lançada ontem:

Suricata 0.8.1 Released!

Uma nova versão do IDS/IPS Suricata foi lançada ontem.

Dentre as principais features estão:

- A engine está preparada para detectar os cores da cpu e se autoajustar para utiliza-los
- Libhtp incorporada a master tree
- Suporte experimental CUDA (NVIDIA). A maioria dos algoritmos de String Searh ainda estão sendo portados para utilizar CUDA.
- Suporte a win32
- Suporte FreeBSD/Mac OS X IPFW inline
- Várias opções no arquivo de configuração suricata.yaml para otimização da engine
- Vlan decoding

- Suporte a logs Prelude

- Vários memory issues corrigidos e cleanup do códígo feito

Alguns problemas já conhecidos :

- Algumas assinaturas ainda não podem ser usadas por ausência de suporte de keywords snort
- Muitas melhorias foram feitas para big endian, entretando ainda faltam alguns bugs a serem corrigidos
- Alguns problemas são esperados quando CUDA for utilizado em 64 bits.

Para maiores informações e download : http://www.openinfosecfoundation.org/


Bugs, dúvidas, novas features e sugestões podem ser enviadas para nosssas mail-lists : http://lists.openinfosecfoundation.org/mailman/listinfo


Abraços,
Breno Silva Pinto
breno.silva@gmail.com

Para mais informações, seguem algumas referências e reações recentes sobre esta promissora novidade na área de Detecção de Intrusões:

• OISF - Download do Suricata
• OISF - Anúncio oficial da versão 0.8.1 do Suricata
  
• Security Database - Suricata Next Generation IDS release 0.8.0 available
• Security Monks - Suricata: A Next Generation IDS/IPS Engine
• Sans Institute - A Call to Arms for Intrusion Detection Software Innovation

Dicas para Gerenciar Segurança durante a Recessão

[ 18/02/2009 - Update ]

O assunto de priorização de esforços em segurança devido à crise está em alta: desta vez um artigo na SearchSecurity de Eric Ogren aponta 4 maneiras de priorizar programas de segurança em uma ecnonomia ruim - abaixo uma tradução livre dos pontos e meus comentários:

I. Apoie projetos que tragam novas fontes de receitas

Na área de Segurança isto é difícil de acontecer, mas é possível - alguns exemplos são vendas de produtos/serviços de segurança para usuários (no caso de empresas como Provedores de Acesso e Conteúdo). O Eirc Ogren cita serviços de segurança que apoiam iniciativas de serviços on-the-cloud.

II. Proporcione uma maior economia através da tecnologia

O autor cita serviços de Controle de Configuração e Auditoria de uso de Máquinas Virtuais, mas achei este ponto um pouco forçado no que diz respeito à segurança de informações.

III. Atenda aos requerimentos mandatórios de compliance

Se sua empresa está sujeita à regras de compliance (SOX, Basiléia, PCI, etc..) - é claro que você tem que priorizar estas demandas, pois o efeito de não se validar neste tipo de auditoria externa pode ser devastador para uma empresa, ainda mais em tempos de crise.

IV. Substitua produtos que não estão atendendo (performance baixa)

Na minha opinião deveria ser o ítem "I" , assim como a lista que a CSO publicou (reproduzido no post original abaixo) possui como primeiro ítem "Priorize baseado em risco/recompensa". Aqui mais uma vez o candidato é a sua solução possivelmente ineficaz de IDS/IPS.


Alguns dos pontos colocados podem levantar discussões sobre métricas em segurança, e retorno de investimento ("ROI") em segurança.

É um desafio que se enfrentado apoiará as decisões em épocas de crise: como medir a efetividade de um controle de segurança? O sucesso atual da solução de segurança é suficiente para garantir um (re)investimento?

[ 10/02/2009 - Post Original]

Depois de alguns meses de agonia, parece que chegamos à um concenso sobre o declínio da taxa de crescimento econômico mundial - ou seja, estamos em recessão e o Brasil será atingido - talvez não por um tsunami, mas certamente também não por uma "marolinha", como disse o presidente.

Nestes tempos de vacas magras, é necessário priorizar os gastos e medir bem os esforços em novos investimentos. Na área de Segurança da Informação, a realidade não é diferente.

Alguns estudos recentes mostraram que:

1. Os ataques utilizando a internet devem aumentar devido à crise.

2. O prejuízo associado ao abuso interno por parte de funcionários/terceiros tem crescido substancialmente.

3. Os empregos de segurança foram pouco afetados até o momento. Alguns detalhes no último report do SANS sobre o o assunto.

Os itens acima certamente têm motivações e efeitos relacionados. Boa parte dos alertas relacionados no item 1. pode ser interpretada como FUD (Fear, Uncertainty & Doubt) - para garantir um bom quinhão de investimentos em tecnologias de segurança.

Hoje um artigo da CSOOnline traz 5 dicas para Gerenciamento de Segurança em uma recessão - seguem os pontos e meus comentários:

I - Priorize baseado em risco/recompensa.

Do que vale uma solução antiquada e milhonária de prevenção que só gera falsos positivos por default, e se bem configurada, começa a produzir mais falso negativos que alertas reais (i.e: eu NÃO DISSE IDS/IPS .. =)

II - Tenha o mix certo de pessoas/especialidades no seu time

Os seus Analistas Senior não podem estar executando tarefas repetitivas, eles precisam automatizar o que já existe e pensar em novas formas de combater as ameaças de negócio que tiram o sono de todos os seus chefes.

III - Construa processos passíveis de repetição

Aqui as vantagens são óbvias, a capacidade de gerar métricas, facilidade de treinamento - trata-se de eficiência.

IV - Crie uma estratégia de custos compartilhados otimizada

Existem soluções que resolvem problemas de várias áreas, e por isto estas podem trabalhar juntas para implementá-las. Alguns exemplos de cabeça são: SIEM - correlação de eventos de segurança e DLP - Prevenção de vazamentos de dados (de Host e Rede).

Tanto SIEM quanto DLP atendem à várias necessidades das áreas de Auditoria, Anti-Fraude, Compliance, Risco, Governança, Segurança de Rede, Segurança da Informação e Segurança Patrimonial.

V - Automatize e terceirize sabiamente

O corte de despesas em T.I. inclui sempre programas de outsourcing, fábricas de softwares e outras contratações para diminuir os custos internos e "manter a atenção da empresa em seu core business". Certamente isto inclui riscos que precisam ser considerados e monitorados, ao preço de ganhar eficiência e perder conhecimento / vantagens competitivas (vazamento de informações) ou dinheiro (fraudes).

Assinaturas/Regras não bastam - caso prático

"Para um device de segurança (IDS/IPS/NBAD) ser capaz de detectar sem falsos positivos/negativos as possíveis variações de ataque que exploram a vulnerabilidade crítica Windows divulgada em 10/06/2008 [ MS08-033 (DirectX / AVI,MJPG) ], serão necessárias 1,065,151,889,408 - mais de um trilhão - de regras/assinaturas - apenas para esta vulnerabilidade." [ tradução livre ]

Segundo a Breaking Point, Estes ataques podem ser produzidos via oito 'strikes' ms08-033 que serão incluídos no próximo StrikePack" - mais info...