Εργαλεία ασφαλείας ανοιχτού κώδικα
Snort: Η μηχανή υπογραφής ανοιχτού κώδικα που ονόμασε την κατηγορία
Το Snort είναι το σύστημα ανίχνευσης εισβολής ανοιχτού κώδικα που καθόρισε την κατηγορία πριν από δύο δεκαετίες: κανόνες υπογραφής αποκωδικοποιημένοι έναντι της κυκλοφορίας, ειδοποίηση για γνωστά μοτίβα εκμετάλλευσης, προαιρετικά αποκλεισμός ενσωματωμένης κυκλοφορίας. Το Snort 3 εκσυγχρόνισε τον κινητήρα (πολλαπλοί νήματα, κανόνες με δυνατότητα διαμόρφωσης Lua) και το οικοσύστημα κανόνων παραμένει ένα από τα μεγαλύτερα στην άμυνα του δικτύου. Αυτό είναι το αφιερωμένο άρθρο πίσω από τη σύγκριση Snort-vs-Suricata.
Βασικά σημεία
- Η γλώσσα των κανόνων εξακολουθεί να είναι η lingua franca: ένας κανόνας ονομάζει ένα πρωτόκολλο, ένα μοτίβο κίνησης (θύρες) και επιλογές ανίχνευσης (αντιστοιχίσεις περιεχομένου, PCRE, κατεύθυνση ροής), που προσδιορίζονται από το sid/rev. Οι γνώσεις χιλιάδων ομάδων είναι γραμμένες σε αυτήν τη σύνταξη και η Suricata διαβάζει το μεγαλύτερο μέρος της εγγενώς, γεγονός που κρατά τις δεξιότητες φορητές.
- Οι πηγές κανόνων σχηματίζουν μια πραγματικότητα τριών επιπέδων: το σύνολο κανόνων κοινότητας δωρεάν με καθυστέρηση 30 ημερών, το καταχωρημένο σύνολο με μικρότερη καθυστέρηση μετά την εγγραφή και ο συνδρομητής που έχει οριστεί με το Freshest intel. a firewall-plus-no-rules Το Snort είναι μια διακόσμηση, επομένως η επιλογή πηγής είναι η πρώτη επιχειρησιακή απόφαση.
- Το Snort 3 έκλεισε το κενό εκσυγχρονισμού: επεξεργασία πακέτων πολλαπλών νημάτων, διαμόρφωση κανόνων βάσει LuaJIT και εσωτερικά αντιστοίχισης κατηγορίας Hyperscan, με κόστος ένα μοντέλο διαμόρφωσης του οποίου η καμπύλη μάθησης διαφέρει από το Snort 2. Οι νέες αναπτύξεις το 2026 θα ξεκινήσουν απευθείας με το Snort 3.
- Δύο στάσεις ανάπτυξης έχουν σημασία: IDS (παθητική παρακολούθηση σε θύρα καθρέφτη/περιοχής, μόνο ειδοποιήσεις) και IPS (ενσωματωμένη, φραγή). Το IPS χρειάζεται σύζευξη HA και αποφάσεις αποτυχίας ανοίγματος/αποτυχίας κλεισίματος, επομένως τα περισσότερα κτήματα εκτελούν πρώτα το IDS και προωθούν προσεκτικά.
- Η εργασία συντονισμού είναι η πραγματική πειθαρχία: ορίστε βάση την επισκεψιμότητά σας, καταργήστε τα ψευδώς θετικά ανά κανόνα/πλευρά (όχι απενεργοποιώντας τον κανόνα) και συντονίστε τα όρια σε θορυβώδη χρονοδιαγράμματα. ένα μη συντονισμένο Snort είτε κατακλύζει τα κανάλια ειδοποίησης είτε απενεργοποιείται αθόρυβα από το προσωπικό, και τα δύο είναι χειρότερα από ένα μικρότερο καλά συντονισμένο σύνολο κανόνων.
- Εκεί που το Snort βρίσκεται σε σχέση με την υπόλοιπη κατηγορία των εργαλείων ασφαλείας μας: είναι η ανίχνευση πρώτης υπογραφής (το Suricata καλύπτει το ίδιο έδαφος με διαφορετικά εσωτερικά, το NSM κατηγορίας Zeek παρέχει πιο πλούσια καταγραφή και οι σαρωτές ευπάθειας όπως το άρθρο μας στο OpenVAS καλύπτουν διαφορετικές ερωτήσεις), η σωστή στάση είναι το IDS ως ένα επίπεδο, ποτέ ως ολόκληρη η περιμετρική ιστορία.
Σημείωση από το πεδίο
Ένας αισθητήρας Snort που κληρονομήσαμε είχε απενεργοποιηθεί αθόρυβα δύο χρόνια πριν, επειδή κανείς δεν τον συντόνισε. το κανάλι ειδοποίησης ήταν ένας αριθμός που κανείς δεν διάβασε. Το ξαναφτιάξαμε με μια βασική γραμμή ανά κτήμα και καταστολές, και η πρώτη πραγματική αλίευση μέσα σε ένα μήνα ήταν ένα παραβιασμένο μηχάνημα που φώναζε. Εγκατεστημένα ρυθμισμένα beats.
Συχνές ερωτήσεις
Snort ή Suricata σε νέο υλικό;
Και οι δύο κινητήρες είναι υγιείς. Το τόξο πολλαπλών νημάτων κατά σχεδίαση και η έξοδος JSON της Suricata ταιριάζουν στους σύγχρονους αγωγούς SOC, ενώ το Snort 3 ταιριάζει στενά και προσφέρει τη διαδρομή κανόνων ενσωματωμένη στο Talos. Η αποκλειστική μας σύγκριση οδηγεί την απόφαση, αλλά σημειώστε ότι οι κανόνες μεταφοράς γνώσης μεταξύ των δύο.
Από πού προέρχεται η κίνηση;
Παθητικό: μια θύρα εμβέλειας μεταγωγέα, ένα άγγιγμα δικτύου ή ένας καθρέφτης vSwitch hypervisor, ποτέ ενσωματωμένος πρώτος. Το μέγεθος εκφράζεται σε πακέτα ανά δευτερόλεπτο και τον αριθμό κανόνων καλύτερα από το εύρος ζώνης μόνο, αφού κάθε κανόνας αξιολογεί κάθε πακέτο.
Πρέπει να πληρώσω για κανόνες;
Το σύνολο κοινότητας είναι δωρεάν με καθυστέρηση, η οποία ήδη καλύπτει απειλές για εμπορεύματα. Η εγγραφή (δωρεάν, ταχύτερες ενημερώσεις) είναι το ελάχιστο για οποιαδήποτε περίμετρο παραγωγής και η πηγή συνδρομής έχει σημασία κυρίως για κτήματα υψηλού στόχου που χρειάζονται κάλυψη αυθημερόν.
Πώς μπορώ να σταματήσω την προειδοποίηση για πλημμύρα;
Πρώτα βασίστε, μετά καταργήστε το per-sid για επιβεβαιωμένη-νόμιμη κυκλοφορία και αποσύρετε κανόνες που δεν ταιριάζουν σε τίποτα στο περιβάλλον σας. συντονιστείτε εβδομαδιαία κατά τη διάρκεια του πρώτου τριμήνου, στη συνέχεια μηνιαία, και η ποιότητα ειδοποιήσεων γίνεται χρησιμοποιήσιμη και όχι αμελητέα.
Πώς βοηθάει η Kinetikatech στα εργαλεία ασφαλείας ανοιχτού κώδικα
Αυτό κάνουμε κάθε μέρα: Οι επαγγελματίες της εργαλειοθήκης δοκιμών παραμένουν πραγματικά φορτωμένοι: σαρωτές, sniffers, crackers και web proxies εξήγησαν τον τρόπο με τον οποίο χρησιμοποιούνται σε πραγματικές δεσμεύσεις - εντολές, σημαίες, εξόδους και πού βρίσκεται το καθένα σε μια μεθοδολογία. Η υπηρεσία μας Δοκιμές διείσδυσης and Ασφάλεια διακομιστών Linux καλύπτει το θέμα από την αρχή ως το τέλος: εκτίμηση, εφαρμογή, παρακολούθηση 24/7 και επείγουσα αντιμετώπιση μέσα σε 30 λεπτά.