Snort 3 공격 탐지 시스템 출시 후보

시스코 회사 발표했다. 완전히 재설계된 공격 방지 시스템 출시 후보 개발 코골이 3, Snort++ 프로젝트라고도 알려져 있으며 2005년부터 간헐적으로 작업해 왔습니다. 안정적인 릴리스는 한 달 이내에 게시될 예정입니다.

Snort 3 브랜치에서는 제품 컨셉이 완전히 재검토되고 아키텍처가 재설계되었습니다. Snort 3 개발의 핵심 영역 중에는 Snort 설정 및 실행 단순화, 구성 자동화, 규칙 구성을 위한 언어 단순화, 모든 프로토콜의 자동 감지, 명령줄에서 제어하기 위한 셸 제공, 단일 구성에 대해 서로 다른 프로세서를 공동으로 액세스하는 멀티스레딩.

다음과 같은 중요한 혁신이 구현되었습니다.

• 단순화된 구문을 제공하고 스크립트를 사용하여 설정을 동적으로 생성할 수 있는 새로운 구성 시스템으로 전환되었습니다. LuaJIT는 구성 파일을 처리하는 데 사용됩니다. LuaJIT 기반 플러그인에는 규칙 및 로깅 시스템에 대한 추가 옵션 구현이 제공됩니다.
• 공격 탐지 엔진이 현대화되고, 규칙이 업데이트되었으며, 규칙에 버퍼를 바인딩하는 기능(고정 버퍼)이 추가되었습니다. Hyperscan 검색 엔진을 사용하여 규칙의 정규식을 기반으로 보다 빠르고 정확하게 트리거된 패턴을 사용할 수 있었습니다.
• 세션 상태를 고려하고 테스트 모음에서 지원하는 상황의 99%를 다루는 HTTP에 대한 새로운 자체 검사 모드를 추가했습니다. HTTP 회피기. HTTP/2 트래픽 검사 시스템이 추가되었습니다.
• 심층 패킷 검사 모드의 성능이 크게 향상되었습니다. 멀티 스레드 패킷 처리 기능이 추가되어 패킷 프로세서로 여러 스레드를 동시에 실행할 수 있으며 CPU 코어 수에 따라 선형 확장성을 제공합니다.
• 서로 다른 하위 시스템 간에 공유되는 공통 구성 저장소 및 속성 테이블이 구현되어 정보 중복을 제거하여 메모리 소비를 크게 줄였습니다.
• JSON 형식을 사용하고 Elastic Stack과 같은 외부 플랫폼과 쉽게 통합되는 새로운 이벤트 로깅 시스템
• 모듈식 아키텍처로 전환하여 플러그인 연결을 통해 기능을 확장하고 교체 가능한 플러그인 형태로 주요 ​​하위 시스템을 구현합니다. 현재 Snort 3에는 이미 수백 개의 플러그인이 구현되어 다양한 응용 분야를 포괄합니다. 예를 들어 규칙에 자신만의 코덱, 내부 검사 모드, 로깅 방법, 작업 및 옵션을 추가할 수 있습니다.
• 실행 중인 서비스를 자동으로 감지하므로 활성 네트워크 포트를 수동으로 지정할 필요가 없습니다.
• 기본 구성과 관련된 설정을 빠르게 재정의할 수 있는 파일에 대한 지원이 추가되었습니다. 구성을 단순화하기 위해 snort_config.lua 및 SNORT_LUA_PATH의 사용이 중단되었습니다.
  즉시 설정 다시 로드에 대한 지원이 추가되었습니다.

• 이 코드는 C++14 표준에 정의된 C++ 구문을 사용하는 기능을 제공합니다(빌드에는 C++14를 지원하는 컴파일러가 필요함).
• 새로운 VXLAN 핸들러가 추가되었습니다.
• 업데이트된 대체 알고리즘 구현을 사용하여 콘텐츠별 콘텐츠 유형 검색이 향상되었습니다. 보이어-무어 и 하이퍼스캔;
• 여러 스레드를 사용하여 규칙 그룹을 컴파일하면 시작이 가속화됩니다.
• 새로운 로깅 메커니즘이 추가되었습니다.
• 네트워크에서 사용 가능한 리소스, 호스트, 애플리케이션 및 서비스에 대한 정보를 수집하는 RNA(실시간 네트워크 인식) 검사 시스템이 추가되었습니다.

출처 : opennet.ru