Azienda Cisco la versione beta finale di un sistema completamente rivisitato per la prevenzione degli attacchi , noto anche come progetto Snort++, il cui sviluppo è in corso a intervalli dal 2005. Si prevede di pubblicare una release candidate entro la fine dell'anno.
Nella nuova versione è stata completamente ripensata la concezione del prodotto e ridefinita l'architettura. Tra gli aspetti su cui ci si è concentrati nella preparazione di questa nuova versione, si segnala la semplificazione della configurazione e del lancio di Snort, l'automazione del processo di configurazione, la semplificazione del linguaggio di costruzione delle regole, la rilevazione automatica di tutti i protocolli, la fornitura di un'interfaccia per la gestione da linea di comando e l'applicazione attiva del multi-threading con accesso condiviso di diversi gestori a una singola configurazione.
Sono state realizzate le seguenti significative innovazioni:
- È stato effettuato il passaggio a un nuovo sistema di configurazione che offre una sintassi semplificata e consente l'uso di script per la generazione dinamica delle impostazioni. Per l'elaborazione dei file di configurazione viene utilizzato LuaJIT. Vengono forniti plugin basati su LuaJIT con implementazione di opzioni aggiuntive per le regole e il sistema di logging;
- Il motore di rilevazione degli attacchi è stato aggiornato, le regole sono state attualizzate e è stata aggiunta la possibilità di associare buffer nelle regole (sticky buffers). È stato implementato il motore di ricerca Hyperscan, che consente di utilizzare regole con modelli più veloci e precisi basati espressioni regolari;
- È stata aggiunta una nuova modalità di introspezione per HTTP, che considera lo stato della sessione e copre il 99% delle situazioni supportate dal set di test. . È in fase di sviluppo il codice per supportare HTTP/2;
- Le prestazioni della modalità di ispezione profonda dei pacchetti sono state significativamente aumentate. È stata aggiunta la possibilità di elaborazione multithreading, che consente l'esecuzione simultanea di più thread con gestori di pacchetti e garantisce una scalabilità lineare in base al numero di core della CPU;
- È stato implementato un archivio di configurazione condiviso e una tabella degli attributi, utilizzati congiuntamente in diverse sottosistemi, il che ha portato a una significativa riduzione del consumo di memoria grazie all'eliminazione della duplicazione delle informazioni;
- Nuovo sistema di registrazione degli eventi che utilizza il formato JSON e si integra facilmente con piattaforme esterne come Elastic Stack;
- Transizione a un'architettura modulare, con possibilità di estendere le funzionalità attraverso l'aggiunta di plugin e implementazione di sottosistemi chiave come plugin sostituibili. Attualmente, per Snort 3 sono già stati realizzati centinaia di plugin che coprono varie aree di applicazione, ad esempio per aggiungere codec personalizzati, modalità di introspezione, metodi di registrazione, azioni e opzioni nelle regole;
- Determinazione automatica dei servizi attivi, eliminando la necessità di specificare manualmente le porte di rete attive.
Modifiche rispetto alla precedente release di test pubblicata nel 2018:
- Aggiunta la possibilità di utilizzare file per il rapido override delle impostazioni, rispetto alla configurazione predefinita;
- Il codice supporta l'uso di costrutti C++ definiti nello standard C++14 (è necessario un compilatore che supporti C++14 per la compilazione);
- Aggiunto un nuovo gestore VXLAN;
- Migliorata la ricerca dei tipi di contenuto in base al contenuto utilizzando versioni alternative aggiornate degli algoritmi e ;
- Il sistema di ispezione del traffico HTTP/2 è praticamente pronto.
- Avviato più rapidamente grazie all'uso di più thread per la compilazione dei gruppi di regole;
- Aggiunto un nuovo meccanismo di registrazione;
- Migliorata l'identificazione degli errori Lua e ottimizzata la gestione delle liste bianche;
- Apportate modifiche che consentono il riavvio delle impostazioni in tempo reale;
- Implementato un sistema di ispezione RNA (Real-time Network Awareness) che raccoglie informazioni sulle risorse, host, applicazioni e servizi disponibili in rete;
- Per semplificare la configurazione, è stata interrotta l'uso di snort_config.lua e SNORT_LUA_PATH.
Fonte: opennet.ru
