Cisco cég a végső bétaverzió teljesen átformált támadásmegelőző rendszerének , más néven Snort++ projekt, amelynek fejlesztése 2005 óta megszakításokkal zajlik. Idén később egy kiadási jelöltet terveznek közzétenni.
Az új ágon a termék koncepciója teljesen újragondolt és az architektúra átdolgozott. Az új ág kidolgozása során hangsúlyt kapott a Snort beállításainak és futtatásának egyszerűsítése, a konfiguráció automatizálása, a szabályépítési nyelv egyszerűsítése, az összes protokoll automatikus észlelése, a parancssorbeli kezeléshez szükséges interfész biztosítása, valamint aktív több szálúság, különböző feldolgozók egyetlen konfigurációhoz való közös hozzáférésével.
A következő jelentős újítások valósultak meg:
- Áttértek egy új konfigurációs rendszerre, amely egyszerűbb szintaxist kínál, és lehetőséget ad a beállítások dinamikus létrehozására szkriptek használatával. A konfigurációs fájlok feldolgozásához LuaJIT-et használnak. LuaJIT alapú pluginek állnak rendelkezésre, amelyek további lehetőségeket kínálnak a szabályok és a naplózási rendszerek számára;
- Frissítették a behatolásészlelő motort, aktualizálták a szabályokat, és lehetőséget biztosítottak a bufferek szabályokban való rögzítésére (sticky buffers). A Hyperscan keresőmotort alkalmazták, amely lehetővé tette a szabályokban a gyorsabb és pontosabb működési minták használatát reguláris kifejezések alapján;
- Új HTTP introspektáló módot vezettek be, amely figyelembe veszi a munkamenet állapotát, és 99%-át lefedi a teszthalmaz által támogatott helyzeteknek . Fejlesztés alatt áll a HTTP/2 támogatására szolgáló kód;
- Jelentősen növelték a mélycsomagellenőrző mód teljesítményét. Bevezették a csomagok párhuzamos feldolgozásának lehetőségét, amely lehetővé teszi több szál párhuzamos végrehajtását a csomagkezelőkkel, és lineárisan skálázhatóságot biztosít a CPU magok számának függvényében;
- Megvalósították az általános konfigurációs tárolót és az attribútumtáblákat, amelyek közösen használhatók különböző alrendszerekben, ami jelentősen csökkentette a memóriafogyasztást az információk duplikálásának kiküszöbölése révén;
- Új eseménynaplózási rendszer, amely JSON formátumot használ és könnyen integrálható külső platformokkal, mint például az Elastic Stack.
- Átállás moduláris architektúrára, a funkcionalitás bővítésének lehetősége pluginek csatlakoztatásával, és a kulcsfontosságú alrendszerek megvalósítása cserélhető pluginként. Jelenleg a Snort 3-hoz már több száz plugin készült, amelyek különböző alkalmazási területeket ölelnek fel, például saját kodekek, introspektív módok, naplózási módszerek, akciók és szabályok opcióinak hozzáadását.
- Automatikus szolgáltatásészlelés, amely megszünteti a szükségét a kézi aktív hálózati portok megadásának.
A 2018-ban közzétett korábbi tesztkiadáshoz képest a változások:
- Fájlok gyors beállítását támogató funkció került hozzáadásra az alapértelmezett konfigurációhoz képest;
- A kód lehetővé teszi a C++14 szabványban meghatározott C++ konstrukciók használatát (a fordításhoz C++14-et támogató fordító szükséges).
- Új VXLAN kezelő került hozzáadásra.
- Fejlesztett tartalomtípusok keresése a tartalom alapján az algoritmusok frissített alternatív megvalósításaival. és ;
- Gyakorlatilag elkészült a HTTP/2 forgalomellenőrzési rendszer;
- A szabálycsoportok fordítása párhuzamos szálak használatával gyorsított indítás.
- Új naplózási mechanizmus került hozzáadásra.
- Javult a Lua hibák észlelése és optimalizálták a fehérlisták működését;
- Olyan változtatásokat vezettek be, amelyek lehetővé teszik a beállítások menet közbeni újratöltését;
- Hozzáadták a valós idejű hálózati tudatosság (RNA) ellenőrzési rendszert, amely információkat gyűjt a hálózaton elérhető erőforrásokról, hosztokról, alkalmazásokról és szolgáltatásokról;
- A beállítások egyszerűsítése érdekében leállították a snort_config.lua és a SNORT_LUA_PATH használatát.
Forrás: opennet.ru
