Ослободете го кандидатот за системот за откривање напади Snort 3

Компанијата Cisco објави за развој на кандидат за ослободување за целосно редизајниран систем за спречување напади Шмркање 3, познат и како проект Snort++, на кој се работи со прекини од 2005 година. Стабилното издание се планира да биде објавено во рок од еден месец.

Во гранката Snort 3, концептот на производот е целосно преиспитан и архитектурата е редизајнирана. Меѓу клучните области на развој на Snort 3: поедноставување на поставување и извршување на Snort, автоматизација на конфигурацијата, поедноставување на јазикот за конструирање правила, автоматско откривање на сите протоколи, обезбедување на школка за контрола од командната линија, активно користење на повеќенишки со заеднички пристап на различни процесори до една конфигурација.

Следниве значајни иновации се имплементирани:

• Направена е транзиција кон нов конфигурациски систем кој нуди поедноставена синтакса и овозможува користење на скрипти за динамичко генерирање поставки. LuaJIT се користи за обработка на датотеки за конфигурација. Приклучоците базирани на LuaJIT се обезбедени со имплементација на дополнителни опции за правила и систем за логирање;
• Моторот за откривање напади е модернизиран, правилата се ажурирани и додадена е способноста за врзување бафери во правила (лепливи бафери). Се користеше пребарувачот Hyperscan, кој овозможи да се користат брзи и попрецизно активирани обрасци засновани на регуларни изрази во правилата;
• Додаден е нов режим на интроспекција за HTTP кој ја зема предвид состојбата на сесијата и покрива 99% од ситуациите поддржани од тест пакетот HTTP Evader. Додаден систем за сообраќајна инспекција HTTP/2;
• Изведбата на режимот на длабока проверка на пакети е значително подобрена. Додадена е способност за обработка на пакети со повеќе нишки, овозможувајќи истовремено извршување на неколку нишки со процесори на пакети и обезбедување линеарна приспособливост во зависност од бројот на јадра на процесорот;
• Имплементирани се заеднички табели за складирање на конфигурации и атрибути, кои се споделуваат помеѓу различни потсистеми, што значително ја намали потрошувачката на меморија со елиминирање на дуплирањето на информациите;
• Нов систем за евиденција на настани користејќи JSON формат и лесно интегриран со надворешни платформи како што е Elastic Stack;
• Транзиција кон модуларна архитектура, можност за проширување на функционалноста преку поврзување приклучоци и имплементирање на клучни потсистеми во форма на заменливи приклучоци. Во моментов, неколку стотици приклучоци веќе се имплементирани за Snort 3, покривајќи различни области на примена, на пример, овозможувајќи ви да додавате сопствени кодеци, режими на интроспекција, методи за евиденција, дејства и опции во правилата;
• Автоматско откривање на активни услуги, со што се елиминира потребата за рачно одредување активни мрежни порти.
• Додадена е поддршка за датотеките за брзо отфрлање на поставките во однос на стандардната конфигурација. За да се поедностави конфигурацијата, употребата на snort_config.lua и SNORT_LUA_PATH е прекината.
  Додадена е поддршка за повторно вчитување на поставките во лет;

• Кодот обезбедува можност за користење на C++ конструкции дефинирани во стандардот C++14 (изградбата бара компајлер кој поддржува C++14);
• Додаден нов VXLAN управувач;
• Подобрено пребарување на типови содржини по содржина користејќи ажурирани алтернативни имплементации на алгоритам Бојер-Мур и Хиперскенирање;
• Стартувањето се забрзува со користење на повеќе нишки за составување групи правила;
• Додаден нов механизам за сеча;
• Додаден е систем за проверка на RNA (Real-time Network Awareness), кој собира информации за ресурсите, хостовите, апликациите и услугите достапни на мрежата.

Извор: opennet.ru