ওপেন সোর্স সিকিউরিটি টুলস
Snort বনাম Suricata: কোন ইঞ্জিন আপনার তারের ঘড়ি?
Snort এবং Suricata ডিটেকশন-ইকোসিস্টেম ডিএনএ (নিয়ম সিনট্যাক্স, ET নিয়ম, pcap প্রক্রিয়াকরণ) ভাগ করে এবং আর্কিটেকচার এবং আউটপুটে ভিন্ন। আপনার দলের পাইপলাইনের আকৃতির চেয়ে কোনটি 'ভাল' সে বিষয়ে পছন্দ কম: Snort's Talos বংশ এবং Suricata এর মাল্টিথ্রেডেড থ্রুপুট এবং JSON-প্রথম SOC ইন্টিগ্রেশনের বিপরীতে IPS ইতিহাস। এই তুলনা সিদ্ধান্ত টেবিল.
মূল বিষয়সমূহ
- আর্কিটেকচার ফিটকে সংজ্ঞায়িত করে: Snort 3 একটি পুনঃডিজাইন (Lua config, Hyperscan matching) এর মাধ্যমে মাল্টিথ্রেডিং এ পৌঁছেছে যখন Suricata জন্মসূত্রে মাল্টিথ্রেডেড ছিল (AF_PACKET কর্মী পাইপলাইন), যার মানে উচ্চ-থ্রুপুট সেন্সিং সুরিকাটার মসৃণ পথ থেকে যায়, এবং ছোট পরিধি এখনও চলে।
- আউটপুট আপনার স্ট্যাকের সিদ্ধান্ত নেয়: Suricata এর EVE JSON (প্রবাহ, প্রোটোকল মেটাডেটা, সতর্কতা) সরাসরি ইলাস্টিক পাইপলাইনে অবতরণ করে এবং এমনকি সতর্কতার মধ্যেও মেটাডেটা বিশ্লেষণ সক্ষম করে, যখন Snort-এর ক্লাসিক ইউনিফাইড2/সতর্ক বিন্যাসগুলি প্রতিষ্ঠিত Snort টুলচেন পরিবেশন করে; একটি JSON-প্রথম SOC-এর জন্য, Suricata-এর ডেটা মডেল একটি প্রকৃত অপারেশনাল সুবিধা।
- নিয়মগুলি বহনযোগ্য, এবং এটি বাজারের শান্ত অনুগ্রহ: উভয় ইঞ্জিনই ET-এর বিধিমালা এবং বেশিরভাগ স্বাক্ষর সিনট্যাক্স পড়ে, তাই নিয়ম সাবস্ক্রিপশন এবং সনাক্তকরণ জ্ঞান হল বিনিয়োগ যা উভয় ইঞ্জিন জুড়ে বহন করে; কিছু Suricata এক্সটেনশন (মেটাডেটা কীওয়ার্ড, xbits প্রসঙ্গ) Snort-এ ফিরে যায় না।
- IPS ভঙ্গি উভয়ই সম্ভব এবং উভয়ই বেদনাদায়ক: ইনলাইন ফেইল-ওপেন/ফেল-ক্লোজড ডিজাইন, স্থিতিস্থাপকতার জন্য HA জোড়া, এবং ফায়ারওয়াল স্তরগুলিতে পলিসি কাপলিং, তাই বেশিরভাগ এস্টেটের জন্য বাস্তবসম্মত সুপারিশ হল প্যাসিভ IDS-প্রথম ইঞ্জিন নির্বিশেষে, শুধুমাত্র উচ্চ-মূল্যের অংশগুলির জন্য ইনলাইনে প্রচার করা।
- কার্যক্ষম পরিপক্কতা স্বাদ দ্বারা পৃথক হয়: Snort এর দীর্ঘ বংশবৃদ্ধি এবং Cisco Talos intel রয়েছে, যা সংগ্রহের চেকবক্সগুলির জন্য ভাল; সুরিকাটার রয়েছে OISF স্টুয়ার্ডশিপ, একটি প্লাগইন ইকোসিস্টেম এবং Zeek ইন্টারঅপারেবিলিটি স্টোরি (PCAP থেকে NSM পাইপলাইন); উভয় প্যাচ সক্রিয়ভাবে, তন্ন তন্ন পরিত্যাগ.
- সিদ্ধান্ত পদ্ধতি আমাদের অন্যান্য তুলনার প্রতিফলন করে: আপনার পাইপলাইন ইনভেনটরি করুন (সুরিকাটাতে JSON SOC স্ট্যাক পয়েন্ট; Snort-এ Snort টুলচেন প্রতিষ্ঠিত), আপনার হার্ডওয়্যার খামের সাথে মিল করুন (থ্রুপুট এবং কোর), হুমকি SLA দ্বারা নিয়ম পাথ বাছাই করুন এবং মনে রাখবেন যে ইঞ্জিনগুলি পরিবর্তন করা একটি টিউনিং প্রকল্প, যেহেতু উভয়ই পুনর্নির্মাণের পরিবর্তে একটি জ্ঞান পরিবেশন করা হয়েছে।
মাঠের নোট
আমাদের পরামর্শ দেওয়া একটি দল তাদের নতুন SOC পাইপলাইনের জন্য Suricata-এ অদলবদল করার আগে আট বছর ধরে Snort চালানোর পরামর্শ দিয়েছিল, এবং নিয়ম ও দক্ষতা সরাসরি জুড়ে ছিল। কাট-ওভারের পরে তাদের মন্তব্য: 'এটি একটি টিউনিং প্রকল্প ছিল, মাইগ্রেশন নয়।' শেয়ার্ড ইকোসিস্টেম আপনাকে এটিই কিনে দেয়।
সচরাচর জিজ্ঞাসা
এক শিখতে সহজ?
নিয়ম সিনট্যাক্স ভাগ করা হয়, তাই সনাক্তকরণ দক্ষতা স্থানান্তর; Suricata এর কনফিগারেশন ক্লিনার JSON/YAML হিসাবে বর্ণনা করা হয়, যখন Snort এর এন্টারপ্রাইজ ডকুমেন্টেশন এবং Talos ইন্টিগ্রেশন অধিকাংশ স্থাপনার সার্টি-চেকবক্স বহন করে।
আমরা একসাথে উভয় চালানো উচিত?
অপ্রয়োজনীয়ভাবে না: একই স্প্যান দেখার দুটি সেন্সর শব্দকে দ্বিগুণ করে এবং রিডিংকে অর্ধেক করে, এবং সনাক্তকরণ ওভারল্যাপ বেশি হয়; টিউন করা নিয়মের সাথে একটি ইঞ্জিন ভালভাবে চালান, পরিবর্তে NSM/Zeek-শ্রেণীর মেটাডেটার জন্য দ্বিতীয় বক্সটি ব্যবহার করুন।
কোনটি আমাদের SIEM-এর সাথে আরও ভালভাবে সংহত করে?
JSON-নেটিভ পাইপলাইনগুলির জন্য Suricata (EVE আউটপুট সরাসরি ইলাস্টিক/ওপেনসার্চ ফিড করে), Snort যেখানে আপনার SIEM-এর আগে থেকেই Snort parsers/unified2 হ্যান্ডলার আছে; যেটি একটি কাস্টম পার্সিং লেয়ার এড়িয়ে যায় সে বিজয়ী।
সম্মান করতে কোন হার্ডওয়্যার পার্থক্য?
উভয়ই কর্মী পাইপলাইনের জন্য কোর চান; লিনাক্সে (AF_PACKET/AF_XDP) উচ্চ পিপিএস-এ সুরিকাটা স্কেল কোরগুলিকে মসৃণ করে, এবং ছোট পরিধি উভয় ইঞ্জিন সহ একটি কমোডিটি বাক্সে আনন্দের সাথে চলে।
ওপেন সোর্স সিকিউরিটি টুলস নিয়ে Kinetikatech কীভাবে সাহায্য করে
এটাই আমরা প্রতিদিন করি: টেস্টিং টুলবক্স পেশাদাররা আসলে লোড রাখে: স্ক্যানার, স্নিফার, ক্র্যাকার, এবং ওয়েব প্রক্সিগুলি কীভাবে বাস্তব ব্যস্ততায় ব্যবহার করা হয় তা ব্যাখ্যা করে — কমান্ড, পতাকা, আউটপুট এবং যেখানে প্রতিটি একটি পদ্ধতিতে বসে। আমাদের পেনিট্রেশন টেস্টিং and Linux সার্ভার নিরাপত্তা সেবাটি শুরু থেকে শেষ পর্যন্ত সব নেয় — মূল্যায়ন, বাস্তবায়ন, ২৪/৭ পর্যবেক্ষণ, আর ৩০ মিনিটের মধ্যে জরুরি সাড়া।