Окончателна бета версия на системата за откриване на проникване Snort 3

Cisco представени окончателна бета версия на напълно преработена система за предотвратяване на атаки Хъркане 3, известен още като проект Snort++, по който се работи с прекъсвания от 2005 г. Кандидатът за освобождаване се планира да бъде публикуван по-късно тази година.

В новия клон продуктовата концепция е напълно преосмислена и архитектурата е преработена. Сред областите, на които беше наблегнато при подготовката на нов клон, имаше опростяване на настройката и стартирането на Snort, автоматизация на конфигурацията, опростяване на езика за конструиране на правила, автоматично откриване на всички протоколи, предоставяне на обвивка за управление от командата линия, активно използване на многопоточност със споделен достъп на различни процесори до една конфигурация.

Внедрени са следните съществени нововъведения:

• Направен е преход към нова конфигурационна система, която предлага опростен синтаксис и позволява използването на скриптове за динамично генериране на настройки. LuaJIT се използва за обработка на конфигурационни файлове. Добавките, базирани на LuaJIT, са осигурени с внедряване на допълнителни опции за правила и система за регистриране;
• Механизмът за откриване на атаки е модернизиран, правилата са актуализирани и е добавена възможност за свързване на буфери в правила (лепкави буфери). Използвана е търсачката Hyperscan, която направи възможно използването на бързи и по-точно задействани шаблони на базата на регулярни изрази в правилата;
• Добавен е нов режим на интроспекция за HTTP, който взема предвид състоянието на сесията и обхваща 99% от ситуациите, поддържани от тестовия пакет HTTP Evader. Кодът за поддръжка на HTTP/2 е в процес на разработка;
• Ефективността на режима на дълбока проверка на пакети е значително подобрена. Добавена е възможност за многонишкова обработка на пакети, позволяваща едновременно изпълнение на няколко нишки с пакетни процесори и осигуряваща линейна мащабируемост в зависимост от броя на процесорните ядра;
• Реализирано е общо съхранение на конфигурация и таблици с атрибути, които се споделят между различни подсистеми, което значително намали потреблението на памет чрез елиминиране на дублирането на информация;
• Нова система за регистриране на събития, използваща JSON формат и лесно интегрирана с външни платформи като Elastic Stack;
• Преход към модулна архитектура, възможност за разширяване на функционалността чрез свързване на добавки и внедряване на ключови подсистеми под формата на сменяеми добавки. Понастоящем няколкостотин плъгини вече са внедрени за Snort 3, покриващи различни области на приложение, като например ви позволяват да добавяте свои собствени кодеци, режими на интроспекция, методи за регистриране, действия и опции в правилата;
• Автоматично откриване на работещи услуги, премахвайки необходимостта от ръчно указване на активни мрежови портове.

Промени в сравнение с последната тестова версия, публикувана през 2018 г.:

• Добавена е поддръжка за файлове за бързо отмяна на настройките спрямо конфигурацията по подразбиране;
• Кодът предоставя възможност за използване на C++ конструкции, дефинирани в стандарта C++14 (компилацията изисква компилатор, който поддържа C++14);
• Добавен нов манипулатор на VXLAN;
• Подобрено търсене на типове съдържание по съдържание с помощта на актуализирани алтернативни реализации на алгоритъм Бойер-Мур и Хиперсканиране;
• Системата за проверка на трафика HTTP/2 е почти доведена до пълна готовност;
• Стартирането се ускорява чрез използване на множество нишки за компилиране на групи от правила;
• Добавен е нов механизъм за регистриране;
• Подобрено откриване на грешки в Lua и оптимизирани бели списъци;
• Направени са промени, за да се позволи презареждане на настройките в движение;
• Добавена е система за проверка на RNA (Real-time Network Awareness), която събира информация за ресурси, хостове, приложения и услуги, налични в мрежата;
• За да се опрости конфигурацията, използването на snort_config.lua и SNORT_LUA_PATH е преустановено.

Източник: opennet.ru