Финалната бета версия на системата за откриване на атаки Snort 3

Компания Cisco представи финалната бета версия на напълно преработената система за предотвратяване на атаки Snort 3, известен също като проект Snort++, по който се работи с прекъсвания от 2005 година. По-късно тази година се планира публикуването на кандидат за издание.

В новата версия напълно е преработена концепцията на продукта и архитектурата е трансформирана. Основните акценти в подготовката на новата версия включват опростяване на настройката и стартирането на Snort, автоматизиране на конфигурирането, опростяване на езика за изграждане на правила, автоматично разпознаване на всички протоколи, предоставяне на обвивка за управление от команден ред, активно приложение на многопоточност с общ достъп на различни обработватели до единна конфигурация.

Реализирани са следните значителни нововъведения:

• Извършен е преход към нова система за конфигурация, предлагаща опростен синтаксис и позволяваща използването на скриптове за динамично формиране на настройки. За обработка на конфигурационни файлове се използва LuaJIT. Предоставят се плъгини, базирани на LuaJIT, с реализации на допълнителни опции за правила и система за водене на дневници;
• Модернизирана е системата за откриване на атаки, актуализирани са правилата, добавена е възможност за свързване на буфери в правилата (sticky buffers). Използван е търсачев механизъм Hyperscan, който позволява да се използват бързи и по-точни шаблони в правилата, основани на регулярни изрази;
• Добавен е нов режим на интроспекция за HTTP, който отчита състоянието на сесията и обхваща 99% от ситуациите, поддържани от тестовия набор HTTP Evader. В разработка е код за поддръжка на HTTP/2;
• Съществено е увеличена производителността на режима на дълбока инспекция на пакети. Добавена е възможност за многопоточна обработка на пакети, допускаща едновременна работа на няколко нишки с обработващи единици и осигуряваща линейна мащабируемост в зависимост от броя ядра на CPU;
• Реализирано е общо хранилище на конфигурации и таблици с атрибути, което се използва съвместно в различни подсистеми, което позволява значително намаляване на разходите за памет чрез изключване на дублирането на информация;
• Нова система за логване на събития, която използва формат JSON и лесно се интегрира с външни платформи, като Elastic Stack;
• Преминаване към модулна архитектура, възможността за разширяване на функционалността чрез свързване на плъгини и реализиране на ключови подсистеми под формата на заменяеми плъгини. В момента за Snort 3 вече са реализирани няколко стотин плъгини, обхващащи различни области на приложение, например, позволяващи добавяне на собствени кодеци, режими на интроспекция, методи за регистриране, действия и опции в правилата;
• Автоматично откриване на работещи услуги, елиминиращо необходимостта от ръчно посочване на активни мрежови портове.

Промени в сравнение с предишния тестов извод, публикуван през 2018 година:

• Добавена е поддръжка на файлове за бързо преосмисляне на настройките, относно конфигурацията по подразбиране;
• В кода е осигурена възможността за използване на конструкции C++, определени в стандарта C++14 (за компилация е необходим компилатор, поддържащ C++14);
• Добавен е нов обработчик VXLAN;
• Подобрено е търсенето на видове съдържание по съдържание, използващо обновени алтернативни реализации на алгоритми. Бойер–Мур и Hyperscan;
• Системата за инспектиране на трафика HTTP/2 е практически готова;
• Ускорен е стартът чрез използването на множество нишки за компилация на групи правила;
• Добавен е нов механизъм за водене на логове;
• Подобрено е определянето на грешки в Lua и оптимизирана е работата на белите списъци;
• Направени са промени, позволяващи внедряване на настройки в реално време;
• Добавена е система за инспектиране RNA (Real-time Network Awareness), събираща информация за наличните в мрежата ресурси, хостове, приложения и услуги;
• За опростяване на настройките, използването на snort_config.lua и SNORT_LUA_PATH е преустановено.

Източник: opennet.ru