XNUMX 년간의 개발 끝에 Cisco는 첫 번째 안정적인 릴리스를 출시했습니다 공격 방지 시스템의 완전히 재 설계된 Snort 3, Snort의 구성 및 실행을 단순화 할뿐만 아니라 구성 자동화 가능성, 규칙 작성 언어를 단순화하고 모든 프로토콜을 자동으로 감지하며 명령 줄 제어용 셸, 단일 구성 등에 대한 여러 컨트롤러의 공유 액세스를 통한 활성 멀티 스레딩.
Snort를 모르시는 분들은 실시간으로 트래픽을 분석하고 탐지 된 악성 활동에 대응할 수 있습니다. 추후 사고 분석을 위해 자세한 패키지 로그를 유지합니다.
Snort ++ 프로젝트라고도하는 Snort 3 브랜치는 제품의 개념과 아키텍처를 완전히 재고했습니다.
Snort 3에 대한 작업은 2005 년에 시작되었지만 곧 중단되었고 Cisco가 프로젝트를 인수 한 후 2013 년에 재개되었습니다.
Snort 3 주요 뉴스
새 버전 Snort 3는 새로운 설정 시스템으로 전환되었습니다. 간단한 구문을 제공하고 스크립트를 사용하여 구성을 동적으로 생성 할 수 있습니다. LuaJIT는 구성 파일을 처리하는 데 사용되며 LuaJIT 기반 플러그인에는 규칙 및 레지스트리 시스템에 대한 추가 옵션이 있습니다.
눈에 띄는 또 다른 변화는 엔진이 현대화되어 공격을 감지하고 규칙이 업데이트되었습니다. 버퍼를 바인딩하는 기능이 추가되었습니다. 규칙 (고정 버퍼) 및 Hyperscan 검색 엔진도 사용되어 규칙의 정규 표현식을 기반으로 트리거 된 패턴을 더 빠르고 정확하게 사용할 수있었습니다.
또한 Snort 3에서는 HTTP에 대한 새로운 내부 검사 모드를 추가했습니다. 세션 상태 저장이며 HTTP Evader 테스트 스위트에서 지원하는 시나리오의 99 %와 HTTP / 2 트래픽에 대한 추가 검사 시스템을 포함합니다.
심층 패킷 검사 모드의 성능이 크게 향상되었습니다. 다중 스레드 패킷 처리 기능이 추가되어 패킷 핸들러를 사용하여 다중 스레드를 동시에 실행할 수 있으며 CPU 코어 수에 따라 선형 확장 성을 제공합니다.
구성 테이블의 공통 저장소가 구현되었습니다. 다른 서브 시스템에서 공유되는 속성은 정보 중복을 제거하여 메모리 소비를 크게 줄였습니다.
또한 모듈 식 아키텍처로의 전환이 강조됩니다., 플러그인을 통해 기능을 확장하고 교체 가능한 플러그인 형태로 주요 하위 시스템을 구현하는 기능.
현재 200 개가 넘는 Snort 3 용 플러그인이 있으며, 자체 코덱, 내부 검사 모드, 등록 방법, 작업 및 규칙 옵션을 추가 할 수있는 등 다양한 용도를 다룹니다.
새 버전에서 눈에 띄는 다른 변경 사항 :
- 기본 설정과 관련된 설정을 빠르게 재정의하는 파일 지원이 추가되었습니다.
- 구성을 단순화하기 위해 snort_config.lua 및 SNORT_LUA_PATH 사용이 중단되었습니다.
- 즉시 설정을 다시로드하기위한 지원이 추가되었습니다.
- JSON 형식을 사용하고 Elastic Stack과 같은 외부 플랫폼과 쉽게 통합되는 새로운 이벤트 로그 시스템.
- 실행중인 서비스를 자동으로 감지하므로 활성 네트워크 포트를 수동으로 지정할 필요가 없습니다.
- 이 코드는 C ++ 14 표준에 정의 된 C ++ 구문을 사용하는 기능을 제공합니다 (어셈블리에는 C ++ 14를 지원하는 컴파일러가 필요함).
- 새로운 VXLAN 컨트롤러가 추가되었습니다.
- Boyer-Moore 및 Hyperscan 알고리즘의 업데이트 된 대체 구현을 사용하여 콘텐츠 별 콘텐츠 유형 검색을 개선했습니다.
- 여러 스레드를 사용하여 규칙 그룹을 컴파일하여 시작을 가속화합니다.
- 새로운 등록 메커니즘을 추가했습니다.
- RNA (실시간 네트워크 인식) 검사 시스템이 추가되어 네트워크에서 사용 가능한 리소스, 호스트, 애플리케이션 및 서비스에 대한 정보를 수집합니다.
최종적으로 그것에 대해 더 알고 싶다면 새 버전에 대해 확인할 수 있습니다. 다음 링크의 세부 사항.