Kandidaat rünnakute avastamise süsteemi Snort 3 väljaandele

Ettevõte Cisco teatas kandidaadi väljaande koostamisest täiesti ümber töötatud rünnakute vältimise süsteemis Snort 3, tuntud ka kui projekt Snort++, mille kallal on tööd tehtud katkestustega alates 2005. aastast. Stabiilne väljaanne on plaanitud avaldada järgmise kuu jooksul.

Snort 3 haru on täielikult ümber mõtestatud toote kontseptsioon ja arhitektuur. Peamised arengusuunad Snort 3-s: seadistamise ja käivitamise lihtsustamine, konfigureerimise automatiseerimine, reeglite koostamise keele lihtsustamine, kõigi protokollide automaatne määramine, käsurea haldamise jaoks mõeldud liidese pakkumine, aktiivne mitme põimimise rakendamine, kus erinevad töötlejad pääsevad juurde ühele konfiguratsioonile.

Tehtud on mitmeid olulisi uuendusi:

• On toimunud üleminek uuele konfigureerimissüsteemile, mis pakub lihtsustatud süntaksit ja võimaldab kasutada skripte seadete dünaamiliseks loomiseks. Konfiguratsioonifailide töötlemiseks kasutatakse LuaJIT-i. Pakutakse LuaJIT-põhiseid pluginaid, mis rakendavad täiendavate võimaluste reeglite ja logimisüsteemi jaoks;
• Rünnakute tuvastamise mootor on moderniseeritud, reeglid on ajakohastatud, reeglites on lisatud võimalus siduda puhver (sticky buffers). Kasutusele on võetud Hyperscani otsingumootor, mis võimaldab reeglites kasutada kiireid ja täpsemaid mustreid, mis põhinevad regulaarsetel väljenditel;
• On lisatud uus HTTP introspektsioonirežiim, mis arvestab sessiooni olekut ja katab 99% katsetussarjaga toetatud olukordadest HTTP Evader. On lisatud HTTP/2 liikluse inspekteerimise süsteem;
• Pakettide sügava inspekteerimise režiimi jõudlust on oluliselt suurendatud. Lisatud on mitme pöime töötlemise võimalus, mis lubab samal ajal mitme pakettide töötleja lõime täita ja tagab lineaarse skaleeritavuse sõltuvalt CPU tuumade arvust;
• On rakendatud ühine konfiguratsioonihoidla ja atribuutide tabel, mida jagavad erinevad alamsüsteemid, mis on võimaldanud märgatavalt vähendada mälutarbimist tänu teabe dubleerimise kõrvaldamisele.
• Uus sündmuste logimise süsteem, mis kasutab JSON formaati ja on lihtsasti integreeritav välistesse platvormidesse, nagu Elastic Stack;
• Üleminek modulaarsesse arhitektuuri, võimaldades funktsionaalsuse laiendamist pluginate kaudu ning võtmesüsteemide teostamist vahetatavate plugidena. Snort 3 jaoks on praeguseks loodud juba mitu sada pluginat, mis katab erinevaid kasutusvaldkondi, näiteks omade koodekite, introspektsioonirežiimide, logimismeetodite, tegevuste ja reeglite valikute lisamine;
• Töökeskkonnas töötavate teenuste automaatne määramine, mis vabastab vajadusest käsitsi märkida aktiivseid võrgu porte.
• Lisatud tugi failidele, mis võimaldab kiiresti seadistusi üle kirjutada võrreldes vaikeseadetega. Seadistamise lihtsustamiseks on lõpetatud snort_config.lua ja SNORT_LUA_PATH kasutamine.
  Lisatud tugi seadistuste koheseks uuendamiseks;
• Koodis on tagatud C++14 standardis määratud C++ konstruktsioonide kasutamise võimalus (kompilaator peab toetama C++14);
• Lisatud uus VXLAN töötleja;
• Parandatud sisu tüüpide otsing, kasutades värskendatud algoritmide alternatiivseid teostusi Boyer-Moore ja Hyperscan;
• Reeglite kogumitute kompaktiivseks käivitamiseks on kiirus suurenenud mitme teema kasutamise kaudu;
• Lisatud uus logimise mehhanism;
• Lisatud RNA (reaalajas võrgu teadlikkuse) inspektsioonisüsteem, mis kogub teavet võrku kättesaadavate ressursside, hostide, rakenduste ja teenuste kohta.

Allikas: opennet.ru