שחרור בטא אחרון של מערכת זיהוי חדירה של Snort 3

חברת סיסקו מוצג גרסת בטא סופית של מערכת למניעת תקיפות שעוצבה מחדש לחלוטין נחרה 3, הידוע גם כפרויקט Snort++, שעובד עליו לסירוגין מאז 2005. מועמד לשחרור מתוכנן להתפרסם בהמשך השנה.

בסניף החדש, קונספט המוצר מחושב מחדש לחלוטין והארכיטקטורה מעוצבת מחדש. בין התחומים שהודגשו בעת הכנת סניף חדש, הייתה פישוט הקמה והשקה של Snort, אוטומציה של תצורה, פישוט השפה לבניית כללים, איתור אוטומטי של כל הפרוטוקולים, מתן מעטפת לשליטה מהפקודה קו, שימוש פעיל בריבוי ההליכים עם גישה משותפת של מעבדים שונים לתצורה בודדת.

החידושים המשמעותיים הבאים יושמו:

• בוצע מעבר למערכת תצורה חדשה המציעה תחביר מפושט ומאפשרת שימוש בסקריפטים ליצירת הגדרות דינמית. LuaJIT משמש לעיבוד קבצי תצורה. תוספים המבוססים על LuaJIT מסופקים עם יישום אפשרויות נוספות לכללים ומערכת רישום;
• מנוע זיהוי התקיפה עבר מודרניזציה, הכללים עודכנו ונוספה היכולת לקשור מאגרים בכללים (דביקים). נעשה שימוש במנוע החיפוש Hyperscan, שאיפשר להשתמש בתבניות מופעלות מהירות ומדויקות יותר על בסיס ביטויים רגולריים בכללים;
• נוסף מצב התבוננות פנימית חדש עבור HTTP שלוקח בחשבון את מצב ההפעלה ומכסה 99% מהמצבים הנתמכים על ידי חבילת הבדיקה HTTP חומק. קוד לתמיכה ב-HTTP/2 נמצא בפיתוח;
• הביצועים של מצב בדיקת המנות העמוק שופרו משמעותית. נוספה את היכולת לעיבוד מנות מרובה חוטים, המאפשר ביצוע בו-זמנית של מספר חוטים עם מעבדי מנות ומתן מדרגיות ליניארית בהתאם למספר ליבות ה-CPU;
• הוטמעו אחסון תצורה משותף וטבלאות תכונות, המשותף בין תת-מערכות שונות, מה שהפחית משמעותית את צריכת הזיכרון על ידי ביטול כפילות המידע;
• מערכת רישום אירועים חדשה בפורמט JSON ומשולבת בקלות עם פלטפורמות חיצוניות כגון Elastic Stack;
• מעבר לארכיטקטורה מודולרית, יכולת להרחיב את הפונקציונליות באמצעות חיבור תוספים והטמעת תתי מערכות מרכזיות בצורה של תוספים הניתנים להחלפה. נכון לעכשיו, כמה מאות תוספים כבר הוטמעו עבור Snort 3, המכסים תחומי יישום שונים, למשל, מאפשרים לך להוסיף קודקים משלך, מצבי התבוננות פנימית, שיטות רישום, פעולות ואפשרויות בכללים;
• זיהוי אוטומטי של שירותים פועלים, מבטל את הצורך לציין ידנית יציאות רשת פעילות.

שינויים בהשוואה למהדורת הבדיקה האחרונה, שפורסמה ב-2018:

• נוספה תמיכה בקבצים כדי לעקוף במהירות הגדרות ביחס לתצורת ברירת המחדל;
• הקוד מספק את היכולת להשתמש במבני C++ המוגדרים בתקן C++14 (הבנייה דורשת מהדר התומך ב-C++14);
• נוסף מטפל VXLAN חדש;
• חיפוש משופר אחר סוגי תוכן לפי תוכן באמצעות יישומי אלגוריתמים חלופיים מעודכנים בויאר-מור и היפר-סריקה;
• מערכת בדיקת התעבורה HTTP/2 כמעט הובאה למוכנות מלאה;
• האתחול מואץ על ידי שימוש במספר שרשורים כדי להרכיב קבוצות של כללים;
• נוסף מנגנון רישום חדש;
• זיהוי משופר של שגיאות Lua ורשימות הלבנים מותאמות;
• בוצעו שינויים כדי לאפשר טעינה מחדש של הגדרות תוך כדי תנועה;
• נוספה מערכת בדיקת RNA (Real-Time Network Awareness), האוספת מידע על משאבים, מארחים, יישומים ושירותים הזמינים ברשת;
• כדי לפשט את התצורה, השימוש ב-snort_config.lua וב-SNORT_LUA_PATH הופסק.

מקור: OpenNet.ru