Конечно бета издание на системот за откривање на упад Snort 3

Компанијата Cisco презентирани финальную бета-версию полностью переработанной системы предотвращения атак Шмркање 3, также известной как проект Snort++, работа над которым с перерывами ведётся ещё с 2005 года. Позднее в этом году планируется опубликовать кандидат в релизы.

В новой ветке полностью переосмыслена концепция продукта и переработана архитектура. Из направлений, на которые был сделан акцент при подготовке новой ветки, отмечается упрощение настройки и запуска Snort, автоматизация конфигурирования, упрощения языка построения правил, автоматическое определение всех протоколов, предоставления оболочки для управления из командной строки, активное применение многопоточности с совместным доступом разных обработчиков к единой конфигурации.

Следниве значајни иновации се имплементирани:

• Направена е транзиција кон нов конфигурациски систем кој нуди поедноставена синтакса и овозможува користење на скрипти за динамичко генерирање поставки. LuaJIT се користи за обработка на датотеки за конфигурација. Приклучоците базирани на LuaJIT се обезбедени со имплементација на дополнителни опции за правила и систем за логирање;
• Моторот за откривање напади е модернизиран, правилата се ажурирани и додадена е способноста за врзување бафери во правила (лепливи бафери). Се користеше пребарувачот Hyperscan, кој овозможи да се користат брзи и попрецизно активирани обрасци засновани на регуларни изрази во правилата;
• Додаден е нов режим на интроспекција за HTTP кој ја зема предвид состојбата на сесијата и покрива 99% од ситуациите поддржани од тест пакетот HTTP Evader. В разработке находится код для поддержки HTTP/2;
• Изведбата на режимот на длабока проверка на пакети е значително подобрена. Додадена е способност за обработка на пакети со повеќе нишки, овозможувајќи истовремено извршување на неколку нишки со процесори на пакети и обезбедување линеарна приспособливост во зависност од бројот на јадра на процесорот;
• Имплементирани се заеднички табели за складирање на конфигурации и атрибути, кои се споделуваат помеѓу различни потсистеми, што значително ја намали потрошувачката на меморија со елиминирање на дуплирањето на информациите;
• Нов систем за евиденција на настани користејќи JSON формат и лесно интегриран со надворешни платформи како што е Elastic Stack;
• Транзиција кон модуларна архитектура, можност за проширување на функционалноста преку поврзување приклучоци и имплементирање на клучни потсистеми во форма на заменливи приклучоци. Во моментов, неколку стотици приклучоци веќе се имплементирани за Snort 3, покривајќи различни области на примена, на пример, овозможувајќи ви да додавате сопствени кодеци, режими на интроспекција, методи за евиденција, дејства и опции во правилата;
• Автоматско откривање на активни услуги, со што се елиминира потребата за рачно одредување активни мрежни порти.

Изменения по сравнению с прошлым тестовым выпуском, который был опубликован в 2018 году:

• Добавлена поддержка файлов для быстрого переопределения настроек, относительно конфигурации по умолчанию;
• Кодот обезбедува можност за користење на C++ конструкции дефинирани во стандардот C++14 (изградбата бара компајлер кој поддржува C++14);
• Додаден нов VXLAN управувач;
• Подобрено пребарување на типови содржини по содржина користејќи ажурирани алтернативни имплементации на алгоритам Бојер-Мур и Хиперскенирање;
• Практически доведена до полной готовности система инспектирования трафика HTTP/2;
• Стартувањето се забрзува со користење на повеќе нишки за составување групи правила;
• Додаден нов механизам за сеча;
• Улучшено определение ошибок Lua и оптимизирована работа белых списков;
• Внесены изменения, позволяющие реализовать перезагрузку настроек на лету;
• Добавлена система инспектирования RNA (Real-time Network Awareness), собирающая сведения о доступных в сети ресурсах, хостах, приложениях и сервисах;
• Для упрощения настройки прекращено использование snort_config.lua и SNORT_LUA_PATH.

Извор: opennet.ru