Выпуск сетевых анализаторов Wireshark 4.4.0 и Zeek 7.0.0

Опубликован релиз новой стабильной ветки сетевого анализатора Wireshark 4.4. Программа поддерживает более тысячи сетевых протоколов и несколько десятков форматов захвата трафика. Предоставляется гибкий интерфейс для создания фильтров, захвата трафика, анализа сохранённых дампов и инспектирования пакетов. Поддерживаются такие расширенные возможности, как пересборка порядка следования пакетов, выделение и сохранение содержимого файлов, передаваемых с использованием разных протколов, воспроизведение VoIP и RTP-потоков, расшифровка IPsec, ISAKMP, Kerberos, SNMPv3, SSL/TLS, WEP и WPA/WPA2. Код проекта распространяется под лицензией GPLv2.

Ключевые новшества Wireshark 4.4.0:

  • Добавлена поддержка автоматического переключения профилей с настройками. Пользователь может привязать фильтр отображения к профилю и в случае открытия файла с захваченным трафиком, подпадающего под фильтр, автоматически будет задействован связанный с ним профиль.
  • Добавлена поддержка Lua 5.3 и 5.4. Прекращена поддержка Lua 5.1 и 5.2.
  • В фильтрах отображения улучшена поддержка строковых значений (появилась возможность строкового представления числовых полей).
  • Предоставлена возможность определения функции фильтра в виде плагинов, по аналогиями с парсерами файлов и модулями разбора протоколов.
  • Добавлена операция «Edit › Copy › Display filter as pcap filter» для преобразования фильтров отображения в pcap-фильтры с эквивалентными полями.
  • Улучшены многие графические диалоги, модернизированы графики ввода/вывода, потоков трафика, VoIP-вызовов и TCP-потоков.
  • Разрешено определение собственных столбцов, для формирования которых могут использоваться любые операции над полями (функции фильтров, арифметические вычисления, логические операции, модификаторы протоколов и т.п.).
  • Разрешено определение собственных полей вывода для «tshark -e», используя операции над имеющимися полями.
  • Добавлена поддержка сборки с библиотекой zlib-ng вместо zlib для работы со сжатыми файлами.
  • Добавлена поддержка протоколов и форматов:
    • Allied Telesis Resiliency Link (AT RL),
    • ATN Security Label,
    • Bit Index Explicit Replication (BIER),
    • Bus Mirroring Protocol,
    • EGNOS Message Server (EMS),
    • Galileo E1-B I/NAV,
    • IBM i RDMA Endpoint (iRDMA-EDP),
    • IWBEMSERVICES, MAC NR Framed (mac-nr-framed),
    • Matter Bluetooth Transport Protocol (MatterBTP),
    • MiWi P2P Star,
    • Monero,
    • NMEA 0183,
    • PLDM,
    • RDP authentication redirection virtual channel protocol (rdpear),
    • RF4CE Network Layer (RF4CE),
    • RF4CE Profile (RF4CE Profile),
    • RK512, SAP Remote Function Call (SAPRFC),
    • SBAS L1 Navigation Message,
    • Scanner Access Now Easy (SANE),
    • TREL,
    • WMIO,
    • ZeroMQ Message Transport Protocol (ZMTP).
  • Устранена уязвимость (CVE-2024-8250), приводящая к аварийному завершению при обработке специального оформленных пакетов.

Дополнительно можно отметить релиз системы анализа трафика и выявления сетевых вторжений Zeek 7.0.0 , ранее распространявшейся под именем Bro. Zeek представляет собой платформу для анализа трафика, ориентированную в первую очередь на отслеживание событий, связанных с безопасностью, но не ограничивающуюся этим применением. Платформой Zeek предоставляются модули для анализа и разбора различных сетевых протоколов уровня приложений, учитывающие состояние соединений и позволяющие формировать подробный журнал (архив) сетевой активности. Предлагается предметно-ориентированный язык для написания сценариев мониторинга и выявления аномалий с учётом специфики конкретных инфраструктур. Система оптимизирована для использования в сетях с большой пропускной способностью. Предоставляется API для интеграции со сторонними информационными системами и обмена данными в режиме реального времени.
Код системы написан на языке С++ и распространяется под лицензией BSD.

В новом выпуске Zeek:

  • Переработан фреймворк Telemetry, используемый для накопления и экспорта статистики (например, число открытых соединений и интенсивность запросов). Вместо агрегирования метрик на конечных узлах с их направлением на отдельный управляющий узел, в новой версии для сбора метрик с узлов задействован механизм определения сервисов на базе Prometheus.
  • Генератор парсеров для разбора протоколов и файлов обновлён до версии Spicy 1.11, в которой изменено представление кода в памяти, повышена надёжность работы, улучшена обработка потери пакетов, расширена поддержка битовых полей и ускорена работа (для некоторых протоколов прирост производительности достигает 30%).
  • Добавлена поддержка движка оптимизации скриптов ZAM (Zeek Abstract Machine), позволяющего повысить производительность Zeek-скриптов благодаря компиляции узлов синтаксического дерева в более эффективно исполняемую низкоуровневую форму.
  • Предложены новые анализаторы протоколов QUIC и LDAP, построенные с использованием генератора парсеров Spicy.
  • Обеспечена корректная обработка проброса на более новые версии протокола HTTP.
  • Улучшен анализ WebSocket.
  • Добавлена поддержка отложенной записи в лог.

Источник: http://www.opennet.ru/opennews/art.shtml?num=61790