Cisco cég a teljesen újragondolt behatolásmegelőző rendszer megjelenéséhez előkészített jelöltről , más néven Snort++ projekt, amelynek fejlesztése 2005 óta megszakításokkal zajlik. A stabil kiadását egy hónapon belül tervezik közzétenni.
A Snort 3 ágon a termék koncepciója teljesen átalakult, és az architektúra is meg lett újítva. A Snort 3 fejlesztésének kulcsfontosságú irányai közé tartozik a Snort beállításának és indításának egyszerűsítése, a konfigurációs folyamat automatizálása, a szabályépítési nyelv leegyszerűsítése, minden protokoll automatikus észlelése, parancssori kezelésre szolgáló felület biztosítása, valamint a több szálas feldolgozás aktív alkalmazása, amely lehetővé teszi a különböző feldolgozók számára, hogy közös konfiguráción dolgozzanak.
A következő jelentős újítások valósultak meg:
- Áttértek egy új konfigurációs rendszerre, amely egyszerűbb szintaxist kínál, és lehetőséget ad a beállítások dinamikus létrehozására szkriptek használatával. A konfigurációs fájlok feldolgozásához LuaJIT-et használnak. LuaJIT alapú pluginek állnak rendelkezésre, amelyek további lehetőségeket kínálnak a szabályok és a naplózási rendszerek számára;
- Frissítették a behatolásészlelő motort, aktualizálták a szabályokat, és lehetőséget biztosítottak a bufferek szabályokban való rögzítésére (sticky buffers). A Hyperscan keresőmotort alkalmazták, amely lehetővé tette a szabályokban a gyorsabb és pontosabb működési minták használatát reguláris kifejezések alapján;
- Új HTTP introspektáló módot vezettek be, amely figyelembe veszi a munkamenet állapotát, és 99%-át lefedi a teszthalmaz által támogatott helyzeteknek . Bevezetésre került egy HTTP/2 forgalomellenőrző rendszer;
- Jelentősen növelték a mélycsomagellenőrző mód teljesítményét. Bevezették a csomagok párhuzamos feldolgozásának lehetőségét, amely lehetővé teszi több szál párhuzamos végrehajtását a csomagkezelőkkel, és lineárisan skálázhatóságot biztosít a CPU magok számának függvényében;
- Megvalósították az általános konfigurációs tárolót és az attribútumtáblákat, amelyek közösen használhatók különböző alrendszerekben, ami jelentősen csökkentette a memóriafogyasztást az információk duplikálásának kiküszöbölése révén;
- Új eseménynaplózási rendszer, amely JSON formátumot használ és könnyen integrálható külső platformokkal, mint például az Elastic Stack.
- Átállás moduláris architektúrára, a funkcionalitás bővítésének lehetősége pluginek csatlakoztatásával, és a kulcsfontosságú alrendszerek megvalósítása cserélhető pluginként. Jelenleg a Snort 3-hoz már több száz plugin készült, amelyek különböző alkalmazási területeket ölelnek fel, például saját kodekek, introspektív módok, naplózási módszerek, akciók és szabályok opcióinak hozzáadását.
- Automatikus szolgáltatásészlelés, amely megszünteti a szükségét a kézi aktív hálózati portok megadásának.
- Támogatást kapott a fájlok gyors felülbírálására vonatkozó beállítások tekintetében az alapértelmezett konfigurációval kapcsolatban. A beállítások egyszerűsítése érdekében leállították a snort_config.lua és SNORT_LUA_PATH használatát.
Támogatás hozzáadva a beállítások valós idejű újratöltésére. - A kód lehetővé teszi a C++14 szabványban meghatározott C++ konstrukciók használatát (a fordításhoz C++14-et támogató fordító szükséges).
- Új VXLAN kezelő került hozzáadásra.
- Fejlesztett tartalomtípusok keresése a tartalom alapján az algoritmusok frissített alternatív megvalósításaival. és ;
- A szabálycsoportok fordítása párhuzamos szálak használatával gyorsított indítás.
- Új naplózási mechanizmus került hozzáadásra.
- Hozzáadásra került a RNA (Valós idejű Hálózati Tudatosság) ellenőrző rendszer, amely információkat gyűjt a hálózaton elérhető erőforrásokról, hosztokról, alkalmazásokról és szolgáltatásokról.
Forrás: opennet.ru
