Azienda Cisco la versione beta finale del sistema completamente riprogettato per la prevenzione degli attacchi , noto anche come progetto Snort++, il cui sviluppo va avanti con interruzioni dal 2005. È previsto che un candidato per il rilascio venga pubblicato entro la fine dell'anno.
Nella nuova branca il concetto del prodotto è stato completamente ripensato e l'architettura è stata ristrutturata. Tra le aree su cui ci si è concentrati per la preparazione della nuova versione, si evidenzia la semplificazione della configurazione e avvio di Snort, l'automazione della configurazione, la semplificazione del linguaggio per la scrittura delle regole, il riconoscimento automatico di tutti i protocolli, la fornitura di un'interfaccia per la gestione da riga di comando, e l'applicazione attiva del multithreading con accesso simultaneo di diversi gestori a una configurazione unica.
Sono state implementate le seguenti innovazioni significative:
- È stato effettuato il passaggio a un nuovo sistema di configurazione che offre una sintassi semplificata e consente di utilizzare script per una creazione dinamica delle impostazioni. Per il trattamento dei file di configurazione viene utilizzato LuaJIT. Sono forniti plugin basati su LuaJIT con implementazione di opzioni aggiuntive per le regole e il sistema di log;
- È stato modernizzato il motore di rilevamento degli attacchi, aggiornate le regole, aggiunta la possibilità di vincolare i buffer nelle regole (sticky buffers). È stato utilizzato il motore di ricerca Hyperscan, che ha permesso di utilizzare nelle regole modelli rapidi e più precisi basati su espressioni regolari;
- È stata aggiunta una nuova modalità di ispezione per HTTP che tiene conto dello stato della sessione e copre il 99% delle situazioni supportate dal set di test . È in fase di sviluppo il codice per il supporto di HTTP/2;
- È stata significativamente aumentata la performance della modalità di ispezione profonda dei pacchetti. È stata aggiunta la possibilità di elaborazione dei pacchetti in multi-thread, che consente l'esecuzione simultanea di più thread con gestori di pacchetti e garantisce una scalabilità lineare in base al numero di nuclei CPU;
- È stata implementata una memoria di configurazione comune e una tabella degli attributi, che viene utilizzata congiuntamente in diversi sottosistemi, consentendo una significativa riduzione del consumo di memoria grazie all'esclusione della duplicazione delle informazioni;
- Nuovo sistema di registrazione degli eventi, che utilizza il formato JSON e si integra facilmente con piattaforme esterne come Elastic Stack;
- Transizione a un'architettura modulare, con la possibilità di espandere le funzionalità tramite l'aggiunta di plugin e l'implementazione di sottosistemi chiave sotto forma di plugin sostituibili. Attualmente, per Snort 3 sono già implementati centinaia di plugin che coprono diverse aree di applicazione, ad esempio per aggiungere codec personalizzati, modalità di introspezione, metodi di registrazione, azioni e opzioni nelle regole;
- Rilevamento automatico dei servizi attivi, eliminando la necessità di specificare manualmente le porte di rete attive.
Modifiche rispetto all'ultima versione di test, pubblicata nel 2018:
- Aggiunto il supporto per file di rapido ripristino delle impostazioni, rispetto alla configurazione predefinita;
- Il codice garantisce la possibilità di utilizzare strutture C++ definite nello standard C++14 (per la compilazione è necessario un compilatore che supporti C++14);
- Aggiunto un nuovo gestore VXLAN;
- Migliorata la ricerca dei tipi di contenuto in base al contenuto utilizzando implementazioni alternative aggiornate degli algoritmi e ;
- Quasi completato il sistema di ispezione del traffico HTTP/2;
- Accelerato l'avvio grazie all'uso di più thread per la compilazione di gruppi di regole;
- Aggiunto un nuovo meccanismo di registrazione;
- Migliorata la rilevazione degli errori Lua e ottimizzato il funzionamento delle whitelist;
- Effettuate modifiche che permettono di realizzare il caricamento delle impostazioni al volo;
- Aggiunto un sistema di ispezione RNA (Real-time Network Awareness), che raccoglie informazioni sulle risorse disponibili in rete, host, applicazioni e servizi;
- Per semplificare la configurazione, è stato interrotto l'uso di snort_config.lua e SNORT_LUA_PATH.
Fonte: opennet.ru
