Slutlig beta-version av Snort 3 attackdetekteringssystem

Företaget Cisco har presenterat den slutliga betaversionen av det helt omarbetade systemet för att förhindra attacker Snort 3, även känt som projektet Snort++, vars arbete pågått med avbrott sedan 2005. En kandidat för release planeras att publiceras senare i år.

I den nya grenen har produktens koncept helt omdefinierats och arkitekturen har omarbetats. Bland de områden som har betonats i förberedelserna av den nya grenen märks förenkling av installation och körning av Snort, automatisering av konfiguration, förenkling av regelspråket, automatisk identifiering av alla protokoll, tillhandahållande av en kommandoradsgränssnitt och aktiv tillämpning av flertrådad bearbetning med delad åtkomst för olika hanterare till en gemensam konfiguration.

Följande betydande nyheter har implementerats:

• Övergång till ett nytt konfigurationssystem som erbjuder en förenklad syntax och gör det möjligt att använda skript för dynamisk konfiguration. LuaJIT används för att bearbeta konfigurationsfiler. Plugins baserade på LuaJIT tillhandahålls med implementering av ytterligare alternativ för regler och loggning;
• Angreppsdetekteringsmotorn har uppgraderats, reglerna har aktualiserats och möjligheten att binda buffertar i reglerna (sticky buffers) har lagts till. Hyperscan-sökmotorn används för att möjliggöra snabba och mer exakta mönster i reglerna baserat på reguljära uttryck;
• En ny introspektionsläge för HTTP har lagts till, som tar hänsyn till sessionsstatus och täcker 99% av situationerna som stöds av testsviten. HTTP Evader. Koden för stöd av HTTP/2 är under utveckling;
• Prestandan för den djupa paketinspektionen har ökat väsentligt. Möjligheten till flertrådning av paketbearbetning har lagts till, vilket tillåter samtidig körning av flera trådar med paketprocessorer och ger linjär skalbarhet beroende av antalet CPU-kärnor;
• Ett gemensamt konfigurationslagringssystem och attributtabeller har implementerats, som används gemensamt i olika delsystem, vilket har minskat minnesanvändningen avsevärt genom att utesluta informationsduplicering;
• Ett nytt händelseloggingssystem, som använder JSON-format och enkelt kan integreras med externa plattformar som Elastic Stack;
• Övergång till modulär arkitektur, med möjlighet att utöka funktionaliteten genom att ansluta plugins och implementera nyckelsubsystem i form av utbytbara plugins. För närvarande har flera hundra plugins redan implementerats för Snort 3, omfattande olika användningsområden, till exempel möjligheten att lägga till egna codecs, introspektionslägen, loggningsmetoder, åtgärder och alternativ i regler;
• Automatisk identifiering av aktiva tjänster, vilket befriar från behovet av manuell specificering av aktiva nätverksportar.

Ändringar jämfört med den tidigare testutgåvan som publicerades 2018:

• Stöd för filer för snabb överskrivning av inställningar i förhållande till standardkonfigurationen har lagts till;
• Kodimplementeringen möjliggör användning av C++-konstruktioner definierade i C++14-standarden (en kompilator som stöder C++14 behövs för kompilering);
• En ny VXLAN-hanterare har lagts till;
• Förbättrad sökning efter innehållstyper baserat på innehåll med hjälp av uppdaterade alternativa implementeringar av algoritmer Boyer-Moore och Hyperscan;
• Systemet för inspektion av HTTP/2-trafik har praktiskt taget nått full beredskap;
• Snabbare start genom användning av flera trådar för att kompilera regelsamlingar;
• En ny loggföringsmekanism har lagts till;
• Förbättrad identifiering av Lua-fel och optimerad hantering av vitlistor;
• Ändringar har genomförts för att möjliggöra omstart av inställningar i realtid;
• Ett RNA (Real-time Network Awareness) inspektionssystem har lagts till, som samlar in information om tillgängliga resurser, värdar, applikationer och tjänster i nätverket;
• För att förenkla installationen har användningen av snort_config.lua och SNORT_LUA_PATH upphört.

Källa: opennet.ru