Cisco den endelige beta-version af det fuldstændigt redesignede system til angrebsforebyggelse , også kendt som projektet Snort++, som der er arbejdet på siden 2005 med periodiske pauser. Der planlægges at udgive en candidate release senere på året.
I den nye version er produktkonceptet fuldstændigt genovervejet, og arkitekturen er redesignede. Fokusområderne for denne nye version inkluderer forenkling af opsætning og opstart af Snort, automatisering af konfiguration, simplificering af regelopbygningsspråket, automatisk identifikation af alle protokoller, levering af en shell til kommandolinjestyring, og en aktiv anvendelse af multitrådning med fælles adgang til en enkelt konfiguration fra forskellige processer.
Følgende væsentlige innovationer er blevet implementeret:
- Overgangen til et nyt konfigurationssystem, der tilbyder en forenklet syntaks og muliggør brugen af scripts til dynamisk at generere indstillinger, er blevet gennemført. LuaJIT bruges til behandling af konfigurationsfiler. LuaJIT-baserede plugins tilbydes med implementering af ekstra muligheder for regler og logningssystemet;
- Angrebsdetektionsmotoren er blevet opdateret, reglerne er aktualiseret, og muligheden for at binde buffere i reglerne (sticky buffers) er blevet tilføjet. Søgermotoren Hyperscan er blevet anvendt, hvilket gør det muligt at bruge hurtigere og mere præcise mønstre baseret på regulære udtryk i regler;
- En ny introspektionsmode til HTTP er blevet tilføjet, som tager hensyn til sessionens tilstand og dækker 99% af situationerne, der understøttes af test-sættet . Der udvikles kode til at understøtte HTTP/2;
- Ydelsen i dyb pakkeinspektionsmode er væsentligt forbedret. Muligheden for multitrådede pakkeprocesser er blevet tilføjet, som tillader samtidig udførelse af flere tråde med pakkehåndteringssystemer og sikrer lineær skalerbarhed afhængigt af antallet af CPU-kerner;
- Et fælles konfigurationslager og attributtabel er blevet implementeret, som benyttes i forskellige undersystemer, hvilket har reduceret hukommelsesforbruget betydeligt ved at eliminere informationens duplikation;
- Et nyt hændelsesloggingssystem, der bruger JSON-format og let kan integreres med eksterne platforme som Elastic Stack;
- Overgangen til modulær arkitektur, muligheden for at udvide funktionaliteten gennem tilslutning af plugins og implementeringen af nøglesystemer som udskiftelige plugins. I øjeblikket er der allerede udviklet flere hundrede plugins til Snort 3, der dækker forskellige anvendelsesområder, f.eks. mulighed for at tilføje egne codec'er, introspektionsmetoder, logningsmetoder, handlinger og indstillinger i reglerne;
- Automatisk identifikation af kørende tjenester, der fjerner behovet for manuelt at angive aktive netværksporte.
Ændringer sammenlignet med den sidste testudgave, der blev offentliggjort i 2018:
- Tilføjet understøttelse af filer til hurtig overskrivning af indstillinger i forhold til standardkonfigurationen;
- Koden muliggør brugen af C++-konstruktioner defineret i C++14-standarden (for at kompilere kræves en compiler, der understøtter C++14);
- Tilføjet en ny VXLAN-håndterer;
- Forbedret søgning efter indholdstyper baseret på indhold ved brug af opdaterede alternative implementeringer af algoritmerne og ;
- Systemet til inspektion af HTTP/2-trafik er næsten klar til fuld drift;
- Starten er blevet accelereret ved brug af flere tråde til kompilering af regler grupper;
- Tilføjet et nyt logningssystem;
- Forbedret identifikation af Lua-fejl og optimeret funktionaliteten af whitelist;
- Der er foretaget ændringer, der muliggør genindlæsning af indstillinger i realtid;
- Et system til inspektion af RNA (Real-time Network Awareness) er blevet tilføjet, som indsamler oplysninger om tilgængelige netværksressourcer, værter, applikationer og tjenester;
- For at forenkle opsætningen er brugen af snort_config.lua og SNORT_LUA_PATH ophørt.
Kilde: opennet.ru
