Snort 3 შეჭრის აღმოჩენის სისტემის საბოლოო ბეტა გამოშვება

კომპანია Cisco წარმოდგენილი თავდასხმის თავიდან აცილების სისტემის სრულიად ხელახალი დიზაინის საბოლოო ბეტა ვერსია ხვრინვა 3, ასევე ცნობილი როგორც Snort++ პროექტი, რომელზეც 2005 წლიდან მუშაობს წყვეტილი. გათავისუფლების კანდიდატის გამოქვეყნება იგეგმება ამ წლის ბოლოს.

ახალ ფილიალში მთლიანად გადაიფიქრა პროდუქტის კონცეფცია და გადაკეთებულია არქიტექტურა. იმ სფეროებს შორის, რომლებიც ხაზგასმული იყო ახალი ფილიალის მომზადებისას, იყო Snort-ის დაყენებისა და გაშვების გამარტივება, კონფიგურაციის ავტომატიზაცია, წესების აგების ენის გამარტივება, ყველა პროტოკოლის ავტომატური გამოვლენა, ბრძანების კონტროლისთვის ჭურვის უზრუნველყოფა. ხაზი, მრავალძაფის აქტიური გამოყენება სხვადასხვა პროცესორის საერთო წვდომით ერთ კონფიგურაციაზე.

განხორციელდა შემდეგი მნიშვნელოვანი ინოვაციები:

• გადასვლა მოხდა ახალ კონფიგურაციის სისტემაზე, რომელიც გთავაზობთ გამარტივებულ სინტაქსს და საშუალებას აძლევს სკრიპტების გამოყენებას პარამეტრების დინამიურად გენერირება. LuaJIT გამოიყენება კონფიგურაციის ფაილების დასამუშავებლად. LuaJIT-ზე დაფუძნებული დანამატები უზრუნველყოფილია წესებისა და ლოგის სისტემის დამატებითი ვარიანტების დანერგვით;
• მოდერნიზებულია თავდასხმის აღმოჩენის ძრავა, განახლებულია წესები და დაემატა წესებში ბუფერების მიბმის შესაძლებლობა (წებოვანი ბუფერები). გამოყენებული იყო Hyperscan საძიებო სისტემა, რამაც შესაძლებელი გახადა წესების რეგულარული გამონათქვამების საფუძველზე სწრაფი და უფრო ზუსტად გამომწვევი შაბლონების გამოყენება;
• დამატებულია ახალი ინტროსპექციის რეჟიმი HTTP-სთვის, რომელიც ითვალისწინებს სესიის მდგომარეობას და მოიცავს სიტუაციების 99%-ს, რომლებიც მხარდაჭერილია ტესტის კომპლექტში HTTP Evader. კოდი HTTP/2-ის მხარდასაჭერად დამუშავების პროცესშია;
• ღრმა პაკეტის შემოწმების რეჟიმის შესრულება მნიშვნელოვნად გაუმჯობესდა. დამატებულია მრავალძაფიანი პაკეტის დამუშავების შესაძლებლობა, რაც საშუალებას აძლევს რამდენიმე ძაფს ერთდროულად შესრულდეს პაკეტის პროცესორებით და უზრუნველყოს წრფივი მასშტაბირება CPU ბირთვების რაოდენობის მიხედვით;
• დანერგილია საერთო კონფიგურაციის შენახვისა და ატრიბუტების ცხრილები, რომლებიც გაზიარებულია სხვადასხვა ქვესისტემებს შორის, რაც მნიშვნელოვნად ამცირებს მეხსიერების მოხმარებას ინფორმაციის დუბლირების აღმოფხვრის გზით;
• მოვლენის აღრიცხვის ახალი სისტემა JSON ფორმატის გამოყენებით და ადვილად ინტეგრირებული გარე პლატფორმებთან, როგორიცაა Elastic Stack;
• მოდულურ არქიტექტურაზე გადასვლა, ფუნქციების გაფართოების შესაძლებლობა დანამატების დაკავშირებით და ძირითადი ქვესისტემების დანერგვით შესაცვლელი დანამატების სახით. ამჟამად Snort 3-ისთვის უკვე დანერგილია რამდენიმე ასეული დანამატი, რომელიც მოიცავს აპლიკაციის სხვადასხვა სფეროს, მაგალითად, საშუალებას გაძლევთ დაამატოთ თქვენი საკუთარი კოდეკები, ინტროსპექციის რეჟიმები, ჩაწერის მეთოდები, მოქმედებები და პარამეტრები წესებში;
• გაშვებული სერვისების ავტომატური გამოვლენა, რაც გამორიცხავს აქტიური ქსელის პორტების ხელით მითითების აუცილებლობას.

ცვლილებები ბოლო სატესტო გამოშვებასთან შედარებით, რომელიც გამოქვეყნდა 2018 წელს:

• დაემატა ფაილების მხარდაჭერა ნაგულისხმევი კონფიგურაციის პარამეტრების სწრაფად გადალახვის მიზნით;
• კოდი იძლევა შესაძლებლობას გამოიყენოს C++ კონსტრუქციები, რომლებიც განსაზღვრულია C++14 სტანდარტში (build მოითხოვს C++14-ის მხარდაჭერის შემდგენელს);
• დამატებულია ახალი VXLAN დამმუშავებელი;
• შიგთავსის ტიპების გაუმჯობესებული ძიება შინაარსის მიხედვით განახლებული ალტერნატიული ალგორითმის განხორციელების გამოყენებით ბოიერ-მური и ჰიპერსკანირება;
• HTTP/2 საგზაო მოძრაობის ინსპექტირების სისტემა თითქმის სრულ მზადყოფნაშია მოყვანილი;
• გაშვება დაჩქარებულია წესების ჯგუფების შედგენისთვის მრავალი ძაფების გამოყენებით;
• დამატებულია ხე-ტყის ახალი მექანიზმი;
• ლუას შეცდომების გაუმჯობესებული გამოვლენა და ოპტიმიზებული თეთრი სიები;
• ცვლილებები განხორციელდა, რათა შესაძლებელი გახდეს პარამეტრების გადატვირთვა ფრენის დროს;
• დაემატა RNA (Real-time Network Awareness) ინსპექტირების სისტემა, რომელიც აგროვებს ინფორმაციას ქსელში არსებული რესურსების, ჰოსტების, აპლიკაციებისა და სერვისების შესახებ;
• კონფიგურაციის გასამარტივებლად, snort_config.lua და SNORT_LUA_PATH გამოყენება შეწყდა.

წყარო: opennet.ru