Završno beta izdanje Snort 3 sustava za otkrivanje upada

Cisco predstavio konačna beta verzija potpuno redizajniranog sustava za sprječavanje napada Otpuhnite 3, također poznat kao projekt Snort++, s prekidima je u tijeku od 2005. godine. Kandidat za izdanje planira se objaviti kasnije ove godine.

U novoj podružnici koncept proizvoda je potpuno promišljen, a arhitektura je redizajnirana. Od područja na koja je stavljen naglasak prilikom pripreme nove grane tu su pojednostavljenje konfiguracije i pokretanja Snort-a, automatizacija konfiguracije, pojednostavljenje jezika za izgradnju pravila, automatska detekcija svih protokola, pružanje ljuske za kontrolu iz naredbenog retka, aktivno korištenje višenitnosti sa zajedničkim pristupom različitih rukovatelja jednoj konfiguraciji.

Implementirane su sljedeće značajne inovacije:

• Izvršen je prijelaz na novi konfiguracijski sustav koji nudi pojednostavljenu sintaksu i dopušta upotrebu skripti za dinamičko generiranje postavki. LuaJIT se koristi za obradu konfiguracijskih datoteka. Dodaci koji se temelje na LuaJIT-u pružaju se s implementacijom dodatnih opcija za pravila i sustav zapisivanja;
• Moderniziran je motor za detekciju napada, ažurirana su pravila, dodana je mogućnost vezivanja međuspremnika u pravilima (sticky buffers). Korištena je tražilica Hyperscan koja je omogućila korištenje brzih i preciznijih predložaka temeljenih na regularnim izrazima u pravilima;
• Dodan je novi način introspekcije za HTTP koji prati stanje sesije i pokriva 99% situacija koje podržava testni paket HTTP Evader. Kod za HTTP/2 podršku je u razvoju;
• Izvedba načina rada Deep Packet Inspection značajno je poboljšana. Dodana mogućnost višenitne obrade paketa, dopuštajući istovremeno izvođenje nekoliko niti s rukovateljima paketima i pružajući linearnu skalabilnost ovisno o broju CPU jezgri;
• Implementiran zajednički repozitorij konfiguracijskih i atributnih tablica, koji se dijeli između različitih podsustava, čime je značajno smanjena potrošnja memorije zbog eliminacije dupliciranja informacija;
• Novi sustav zapisivanja događaja koji koristi JSON format i lako se integrira s vanjskim platformama kao što je Elastic Stack;
• Prijelaz na modularnu arhitekturu, mogućnost proširenja funkcionalnosti povezivanjem dodataka i implementacija ključnih podsustava u obliku zamjenjivih dodataka. Trenutačno je nekoliko stotina dodataka već implementirano za Snort 3, pokrivajući različita područja primjene, na primjer, omogućujući vam dodavanje vlastitih kodeka, načina introspekcije, metoda zapisivanja, radnji i opcija u pravilima;
• Automatsko otkrivanje pokrenutih usluga, eliminirajući potrebu za ručnim određivanjem aktivnih mrežnih priključaka.

Promjene od posljednjeg testnog izdanja, koje je objavljeno 2018.:

• Dodana podrška za datoteke za brzo nadjačavanje postavki u odnosu na zadanu konfiguraciju;
• Kod pruža mogućnost korištenja C++ konstrukata definiranih u C++14 standardu (izrada zahtijeva kompajler koji podržava C++14);
• Dodan novi VXLAN rukovatelj;
• Poboljšano pretraživanje vrsta sadržaja prema sadržaju pomoću ažuriranih alternativnih implementacija algoritama Boyer-Moore и Hyperscan;
• HTTP/2 sustav nadzora prometa praktički je doveden u punu spremnost;
• Pokretanje je ubrzano zbog upotrebe nekoliko niti za sastavljanje grupa pravila;
• Dodan je novi mehanizam zapisivanja;
• Poboljšano otkrivanje pogrešaka Lua i optimizirana lista dopuštenih;
• Promjene su napravljene za implementaciju postavki ponovnog učitavanja u hodu;
• Dodan RNA (Real-time Network Awareness) sustav inspekcije koji prikuplja informacije o resursima, hostovima, aplikacijama i uslugama dostupnim na mreži;
• Upotreba snort_config.lua i SNORT_LUA_PATH je zastarjela radi pojednostavljenja konfiguracije.

Izvor: opennet.ru