Кандидат в релизите на системата за откриване на атаки Snort 3

Компания Cisco обяви за формирането на кандидат за версии на напълно преработена система за предотвратяване на атаки Snort 3, известен също като проект Snort++, чиято работа се провежда с прекъсвания от 2005 година. Стабилен релиз се планира да бъде публикуван в рамките на месец.

В клона Snort 3 концепцията за продукта е напълно преосмислена и архитектурата е преработена. Сред ключовите направления на развитие на Snort 3 са: опростяване на настройките и стартирането на Snort, автоматизация на конфигурирането, опростяване на езика за изграждане на правила, автоматично разпознаване на всички протоколи, предоставяне на оболка за управление от командния ред, активно прилагане на многопоточност с общ достъп до една конфигурация от различни обработващи единици.

Реализирани са следните значителни нововъведения:

• Извършен е преход към нова система за конфигурация, предлагаща опростен синтаксис и позволяваща използването на скриптове за динамично формиране на настройки. За обработка на конфигурационни файлове се използва LuaJIT. Предоставят се плъгини, базирани на LuaJIT, с реализации на допълнителни опции за правила и система за водене на дневници;
• Модернизирана е системата за откриване на атаки, актуализирани са правилата, добавена е възможност за свързване на буфери в правилата (sticky buffers). Използван е търсачев механизъм Hyperscan, който позволява да се използват бързи и по-точни шаблони в правилата, основани на регулярни изрази;
• Добавен е нов режим на интроспекция за HTTP, който отчита състоянието на сесията и обхваща 99% от ситуациите, поддържани от тестовия набор HTTP Evader. Добавена е система за инспекция на трафик HTTP/2;
• Съществено е увеличена производителността на режима на дълбока инспекция на пакети. Добавена е възможност за многопоточна обработка на пакети, допускаща едновременна работа на няколко нишки с обработващи единици и осигуряваща линейна мащабируемост в зависимост от броя ядра на CPU;
• Реализирано е общо хранилище на конфигурации и таблици с атрибути, което се използва съвместно в различни подсистеми, което позволява значително намаляване на разходите за памет чрез изключване на дублирането на информация;
• Нова система за логване на събития, която използва формат JSON и лесно се интегрира с външни платформи, като Elastic Stack;
• Преминаване към модулна архитектура, възможността за разширяване на функционалността чрез свързване на плъгини и реализиране на ключови подсистеми под формата на заменяеми плъгини. В момента за Snort 3 вече са реализирани няколко стотин плъгини, обхващащи различни области на приложение, например, позволяващи добавяне на собствени кодеци, режими на интроспекция, методи за регистриране, действия и опции в правилата;
• Автоматично откриване на работещи услуги, елиминиращо необходимостта от ръчно посочване на активни мрежови портове.
• Добавена е поддръжка на файлове за бързо презареждане на настройките, относно конфигурацията по подразбиране. За опростяване на настройването е спряно използването на snort_config.lua и SNORT_LUA_PATH.
  Добавена е поддръжка за презареждане на настройки в реално време;
• В кода е осигурена възможността за използване на конструкции C++, определени в стандарта C++14 (за компилация е необходим компилатор, поддържащ C++14);
• Добавен е нов обработчик VXLAN;
• Подобрено е търсенето на видове съдържание по съдържание, използващо обновени алтернативни реализации на алгоритми. Бойер–Мур и Hyperscan;
• Ускорен е стартът чрез използването на множество нишки за компилация на групи правила;
• Добавен е нов механизъм за водене на логове;
• Добавена е система за инспекция RNA (Real-time Network Awareness), събираща информация за наличните в мрежата ресурси, хостове, приложения и услуги.

Източник: opennet.ru