Die finale Beta-Version des Angriffs-Detection-Systems Snort 3.

Cisco präsentierte die finale Beta-Version des vollständig überarbeiteten Angriffserkennungssystems Snort 3, auch bekannt als das Projekt Snort++, dessen Entwicklung seit 2005 in wechselnden Abständen stattfindet. Später in diesem Jahr ist die Veröffentlichung einer Release-Kandidaten geplant.

In dieser neuen Version wurde das Konzept des Produkts vollständig neu überdacht und die Architektur überarbeitet. Zu den Hauptfokusbereichen bei der Vorbereitung dieser neuen Version gehören die Vereinfachung der Installation und des Betriebs von Snort, die Automatisierung der Konfiguration, die Vereinfachung der Regelbausprache, die automatische Erkennung aller Protokolle, die Bereitstellung einer Shell für die Verwaltung über die Kommandozeile sowie die aktive Nutzung von Multithreading mit gemeinsamem Zugriff verschiedener Handler auf eine einzige Konfiguration.

Die folgenden bedeutenden Neuerungen wurden umgesetzt:

• Der Übergang zu einem neuen Konfiguration-System wurde vollzogen, das eine vereinfachte Syntax bietet und die Verwendung von Skripten für die dynamische Anpassung von Einstellungen ermöglicht. Für die Verarbeitung der Konfigurationsdateien wird LuaJIT eingesetzt. Plugins auf Basis von LuaJIT werden bereitgestellt, um zusätzliche Optionen für Regeln und das Logging-System zu implementieren.
• Die Engine zur Erkennung von Angriffen wurde modernisiert, Regeln aktualisiert und die Möglichkeit zur Bindung von Puffern in den Regeln (sticky buffers) hinzugefügt. Der Suchmechanismus Hyperscan wurde implementiert, der es ermöglicht, in den Regeln schnelle und präzise abgleichende Muster auf Basis von regulären Ausdrücken zu nutzen.
• Ein neuer Introspektionsmodus für HTTP wurde hinzugefügt, der den Status der Sitzung berücksichtigt und 99 % der vom Testset unterstützten Situationen abdeckt. HTTP Evader. Der Code zur Unterstützung von HTTP/2 befindet sich in der Entwicklung.
• Die Leistung des Deep Packet Inspection Modus wurde erheblich gesteigert. Es wurde die Möglichkeit zur Multi-Threading-Paketverarbeitung hinzugefügt, die die gleichzeitige Ausführung mehrerer Threads mit Paketbearbeitern ermöglicht und eine lineare Skalierbarkeit in Abhängigkeit von der Anzahl der CPU-Kerne gewährleistet.
• Ein zentrales Konfigurationsspeicher- und Attributtabellensystem wurde implementiert, das in verschiedenen Teilsystemen gemeinsam genutzt wird. Dadurch konnte der Speicherverbrauch erheblich gesenkt werden, da Informationsduplikate eliminiert wurden.
• Ein neues Ereignisprotokollierungssystem, das das JSON-Format verwendet und einfach mit externen Plattformen wie Elastic Stack integriert werden kann.
• Umstieg auf eine modulare Architektur, die Erweiterungsmöglichkeiten durch die Anbindung von Plugins bietet und die Schlüsselkomponenten als austauschbare Plugins umsetzt. Derzeit sind bereits mehrere hundert Plugins für Snort 3 verfügbar, die verschiedene Anwendungsgebiete abdecken, um eigene Codecs, Überwachungsmodi, Protokollierungsmethoden und Aktionen sowie Optionen in den Regeln hinzuzufügen.
• Automatische Erkennung von laufenden Diensten, wodurch die manuelle Angabe aktiver Netzwerkports überflüssig wird.

Änderungen im Vergleich zur letzten Testversion, die 2018 veröffentlicht wurde:

• Unterstützung für Dateien zur schnellen Neudefinition von Einstellungen hinzugefügt, relativ zur Standardkonfiguration.
• Der Code ermöglicht die Nutzung von C++-Konstruktionen, die im Standard C++14 definiert sind (für den Build ist ein Compiler erforderlich, der C++14 unterstützt);
• Ein neuer VXLAN-Handler wurde hinzugefügt;
• Die Suche nach Content-Typen anhand des Inhalts wurde mit aktualisierten alternativen Implementierungen der Algorithmen verbessert; Boyer-Moore und Hyperscan;
• Das System zur Inspektion von HTTP/2-Traffic ist nahezu vollständig bereit;
• Der Start wurde durch die Nutzung mehrerer Threads zur Kompilierung von Regelgruppen beschleunigt;
• Ein neues Logging-System wurde hinzugefügt;
• Die Fehlererkennung in Lua wurde verbessert und die Funktionsweise von Whitelists optimiert;
• Änderungen wurden vorgenommen, um die Echtzeit-Neuladung der Einstellungen zu ermöglichen;
• Ein System zur Inspektion von RNA (Real-time Network Awareness) wurde hinzugefügt, das Informationen über verfügbare Ressourcen, Hosts, Anwendungen und Dienste im Netzwerk sammelt;
• Um die Konfiguration zu vereinfachen, wurde die Verwendung von snort_config.lua und SNORT_LUA_PATH eingestellt.

Quelle: opennet.ru