Cisco om dannelsen af kandidaten til udgivelserne af det helt omarbejdede system til forebyggelse af angreb , også kendt som projekt Snort++, hvis arbejde er blevet udført sporadisk siden 2005. En stabil udgivelse forventes at blive offentliggjort inden for en måned.
I Snort 3-grenen er konceptet bag produktet blevet fuldstændig omovervejet, og arkitekturen er revideret. Blandt de vigtigste udviklingsretninger for Snort 3 er: forenkling af opsætning og start af Snort, automatisering af konfiguration, forenkling af regler-sprog, automatisk identificering af alle protokoller, levere et CLI-styringslag og aktiv anvendelse af multithreading med delte adgange til en fælles konfiguration.
Følgende væsentlige innovationer er blevet implementeret:
- Overgangen til et nyt konfigurationssystem, der tilbyder en forenklet syntaks og muliggør brugen af scripts til dynamisk at generere indstillinger, er blevet gennemført. LuaJIT bruges til behandling af konfigurationsfiler. LuaJIT-baserede plugins tilbydes med implementering af ekstra muligheder for regler og logningssystemet;
- Angrebsdetektionsmotoren er blevet opdateret, reglerne er aktualiseret, og muligheden for at binde buffere i reglerne (sticky buffers) er blevet tilføjet. Søgermotoren Hyperscan er blevet anvendt, hvilket gør det muligt at bruge hurtigere og mere præcise mønstre baseret på regulære udtryk i regler;
- En ny introspektionsmode til HTTP er blevet tilføjet, som tager hensyn til sessionens tilstand og dækker 99% af situationerne, der understøttes af test-sættet . Et system til inspektion af HTTP/2-trafik er blevet tilføjet;
- Ydelsen i dyb pakkeinspektionsmode er væsentligt forbedret. Muligheden for multitrådede pakkeprocesser er blevet tilføjet, som tillader samtidig udførelse af flere tråde med pakkehåndteringssystemer og sikrer lineær skalerbarhed afhængigt af antallet af CPU-kerner;
- Et fælles konfigurationslager og attributtabel er blevet implementeret, som benyttes i forskellige undersystemer, hvilket har reduceret hukommelsesforbruget betydeligt ved at eliminere informationens duplikation;
- Et nyt hændelsesloggingssystem, der bruger JSON-format og let kan integreres med eksterne platforme som Elastic Stack;
- Overgangen til modulær arkitektur, muligheden for at udvide funktionaliteten gennem tilslutning af plugins og implementeringen af nøglesystemer som udskiftelige plugins. I øjeblikket er der allerede udviklet flere hundrede plugins til Snort 3, der dækker forskellige anvendelsesområder, f.eks. mulighed for at tilføje egne codec'er, introspektionsmetoder, logningsmetoder, handlinger og indstillinger i reglerne;
- Automatisk identifikation af kørende tjenester, der fjerner behovet for manuelt at angive aktive netværksporte.
- Tilføjet support for filer til hurtig overstyring af indstillinger i forhold til standardkonfiguration. For at forenkle opsætningen er brugen af snort_config.lua og SNORT_LUA_PATH ophørt.
Tilføjet support for at genindlæse indstillinger i realtid; - Koden muliggør brugen af C++-konstruktioner defineret i C++14-standarden (for at kompilere kræves en compiler, der understøtter C++14);
- Tilføjet en ny VXLAN-håndterer;
- Forbedret søgning efter indholdstyper baseret på indhold ved brug af opdaterede alternative implementeringer af algoritmerne og ;
- Starten er blevet accelereret ved brug af flere tråde til kompilering af regler grupper;
- Tilføjet et nyt logningssystem;
- Tilføjet et RNA (Real-time Network Awareness) inspektionssystem, der indsamler oplysninger om de ressourcer, værter, applikationer og tjenester, der er tilgængelige i netværket.
Kilde: opennet.ru
