Εργαλεία ασφαλείας ανοιχτού κώδικα
Snort vs Suricata: Ποιος κινητήρας παρακολουθεί το σύρμα σας;
Το Snort και το Suricata μοιράζονται το DNA του οικοσυστήματος ανίχνευσης (σύνταξη κανόνων, κανόνες ET, επεξεργασία pcap) και διαφέρουν ως προς την αρχιτεκτονική και την έξοδο. Η επιλογή είναι λιγότερο για το ποιο είναι «καλύτερο» παρά για το σχήμα του αγωγού της ομάδας σας: η γενεαλογία του Snort Talos και το ιστορικό IPS έναντι της πολυνηματικής απόδοσης της Suricata και της ενσωμάτωσης SOC της πρώτης JSON. Αυτή η σύγκριση είναι ο πίνακας αποφάσεων.
Βασικά σημεία
- Η αρχιτεκτονική καθορίζει την εφαρμογή: Το Snort 3 έφτασε στο multithreading μέσω ενός επανασχεδιασμού (διαμόρφωση Lua, αντιστοίχιση Hyperscan) ενώ το Suricata ήταν πολλαπλών νημάτων από τη γέννηση (AF_PACKET worker pipelines), που σημαίνει ότι η ανίχνευση υψηλής απόδοσης παραμένει η πιο ομαλή διαδρομή της Suricata και οι μικρές περίμετροι εξακολουθούν να λειτουργούν καλά.
- Η έξοδος αποφασίζει τη στοίβα σας: Το EVE JSON της Suricata (ροές, μεταδεδομένα πρωτοκόλλου, ειδοποιήσεις) προσγειώνεται απευθείας στους αγωγούς Elastic και επιτρέπει την ανάλυση μεταδεδομένων ακόμη και μεταξύ των ειδοποιήσεων, ενώ οι κλασικές μορφές unified2/alert του Snort εξυπηρετούν καθιερωμένες αλυσίδες εργαλείων Snort. για ένα JSON-first SOC, το μοντέλο δεδομένων της Suricata είναι ένα πραγματικό λειτουργικό πλεονέκτημα.
- Οι κανόνες είναι φορητοί και αυτή είναι η ήρεμη χάρη της αγοράς: και οι δύο κινητήρες διαβάζουν τα σύνολα κανόνων του ET και τη σύνταξη των περισσότερων υπογραφών, επομένως οι συνδρομές κανόνων και η γνώση ανίχνευσης είναι επένδυση που μεταφέρεται σε κάθε κινητήρα. ορισμένες επεκτάσεις Suricata (λέξεις-κλειδιά μεταδεδομένων, περιβάλλοντα xbits) δεν επιστρέφουν στο Snort.
- Οι στάσεις IPS είναι τόσο δυνατές όσο και επώδυνες: σχέδια inline fail-open/fail-closed, ζεύγη HA για ελαστικότητα και σύζευξη πολιτικής με στρώματα τείχους προστασίας, επομένως η ρεαλιστική σύσταση για τα περισσότερα κτήματα είναι πρώτα το παθητικό IDS ανεξάρτητα από τον κινητήρα, προωθώντας το inline μόνο για τμήματα υψηλής αξίας.
- Η λειτουργική ωριμότητα διαφέρει ανάλογα με τη γεύση: Το Snort έχει τη μεγαλύτερη γενεαλογία συν το Cisco Talos intel, καλό για τα πλαίσια ελέγχου προμηθειών. Η Suricata έχει τη διαχείριση του OISF, ένα οικοσύστημα plugin και την ιστορία διαλειτουργικότητας Zeek (PCAP to NSM pipelines). Και οι δύο ενημερωμένες εκδόσεις κώδικα είναι ενεργά, κανένα δεν είναι abandonware.
- Η διαδικασία απόφασης αντικατοπτρίζει τις άλλες συγκρίσεις μας: αποθέστε τη διοχέτευσή σας (σημεία στοίβας JSON SOC στο Suricata, καθιερωμένη αλυσίδα εργαλείων Snort στο Snort), αντιστοιχίστε το φάκελο του υλικού σας (διακίνηση και πυρήνες), επιλέξτε διαδρομές κανόνων με SLA απειλής και σημειώστε ότι η αλλαγή κινητήρων αργότερα είναι έργο συντονισμού και όχι ανακατασκευής, καθώς η γνώση εξυπηρετεί και τα δύο.
Σημείωση από το πεδίο
Μια ομάδα που συμβουλεύαμε διηύθυνε το Snort για οκτώ χρόνια προτού ανταλλάξει στη Suricata για τον νέο της αγωγό SOC και οι κανόνες και οι δεξιότητες μεταφέρθηκαν απευθείας. Το σχόλιό τους μετά τη διακοπή: «ήταν ένα έργο συντονισμού, όχι μια μετανάστευση». Αυτό σας αγοράζει το κοινό οικοσύστημα.
Συχνές ερωτήσεις
Είναι πιο εύκολο να μάθει κανείς;
Η σύνταξη του κανόνα είναι κοινόχρηστη, επομένως μεταφέρονται οι δεξιότητες ανίχνευσης. Η διαμόρφωση του Suricata τείνει να περιγράφεται ως πιο καθαρή JSON/YAML, ενώ η εταιρική τεκμηρίωση του Snort και η ενοποίηση του Talos φέρουν τα περισσότερα κουτιά ελέγχου πιστοποιητικών ανάπτυξης.
Να τρέξουμε και τα δύο ταυτόχρονα;
Περιττό όχι: δύο αισθητήρες που παρακολουθούν το ίδιο διάστημα διπλασιάζει τον θόρυβο και μειώνει στο μισό την ένδειξη και η επικάλυψη ανίχνευσης είναι υψηλή. λειτουργήστε καλά έναν κινητήρα με συντονισμένους κανόνες, χρησιμοποιήστε το δεύτερο πλαίσιο για μεταδεδομένα κατηγορίας NSM/Zeek.
Ποιο ενσωματώνεται καλύτερα με το SIEM μας;
Suricata για εγγενείς αγωγούς JSON (η έξοδος EVE τροφοδοτεί απευθείας το Elastic/OpenSearch), Snort όπου το SIEM σας διαθέτει ήδη Snort parsers/unified2 handlers. ο νικητής είναι όποιος αποφεύγει ένα προσαρμοσμένο επίπεδο ανάλυσης.
Υπάρχουν διαφορές υλικού προς σεβασμό;
Και οι δύο θέλουν πυρήνες για τον αγωγό εργασίας. Το Suricata κλιμακώνεται πιο ομαλό σε υψηλές pps στο Linux (AF_PACKET/AF_XDP) και οι μικρές περιμέτρους λειτουργούν ευχάριστα σε ένα κουτί εμπορευμάτων με οποιονδήποτε κινητήρα.
Πώς βοηθάει η Kinetikatech στα εργαλεία ασφαλείας ανοιχτού κώδικα
Η πρότασή μας είναι απλή: Οι επαγγελματίες της εργαλειοθήκης δοκιμών παραμένουν πραγματικά φορτωμένοι: σαρωτές, sniffers, crackers και web proxies εξήγησαν τον τρόπο με τον οποίο χρησιμοποιούνται σε πραγματικές δεσμεύσεις - εντολές, σημαίες, εξόδους και πού βρίσκεται το καθένα σε μια μεθοδολογία. Αναλάβτε την υπηρεσία μας Δοκιμές διείσδυσης and Ασφάλεια διακομιστών Linux και έχει αξιολογηθεί σωστά, εφαρμοστεί καθαρά και παρακολουθείται όλο το 24ωρο.