オープンソースのセキュリティ ツール
Snort: このカテゴリに名前を付けたオープンソースの署名エンジン
Snort は、20 年前にこのカテゴリを定義したオープンソースの侵入検知システムです。トラフィックに対してデコードされた署名ルール、既知のエクスプロイト パターンに関する警告、オプションでインラインをブロックします。 Snort 3 ではエンジンが最新化され (マルチスレッド、Lua で構成可能なルール)、ルール エコシステムは依然としてネットワーク防御において最大のエコシステムの 1 つです。これは、Snort と Suricata の比較に関する専用の記事です。
要点
- ルール言語は依然として共通語です。ルールでは、プロトコル、トラフィック パターン (ポート)、および検出オプション (コンテンツの一致、PCRE、フロー方向) が名前付けされ、sid/rev によって識別されます。何千ものチームの知識がこの構文で書かれており、Suricata はそのほとんどをネイティブに読み取るため、スキルの移植性が保たれます。
- ルール ソースは 3 層の現実を形成します。コミュニティ ルールセットは 30 日間のラグがあり、登録済みセットはサインアップ後のラグが短く、サブスクライバー セットには最も新しい情報が含まれます。ファイアウォールとルールなし Snort は装飾であるため、ソースの選択が運用上の最初の決定となります。
- Snort 3 は、学習曲線が Snort 2 とは異なる構成モデルを犠牲にして、マルチスレッド パケット処理、LuaJIT ベースのルール構成、および Hyperscan クラスの内部マッチングなどの最新化のギャップを埋めました。 2026 年に新たに導入される場合は、Snort 3 から直接開始する必要があります。
- 2 つの導入姿勢が重要です。IDS (ミラー/スパン ポートでのパッシブ モニタリング、アラートのみ) と IPS (インライン、ブロッキング)。 IPS には HA ペアリングとフェールオープン/フェールクローズの決定が必要であるため、ほとんどの施設では最初に IDS を実行し、慎重に推進します。
- チューニング作業は本当の規律です。トラフィックのベースラインを設定し、ルール/SID ごとに誤検知を抑制し (ルールを無効にすることではありません)、ノイズの多いスケジュールでしきい値を調整します。調整されていない Snort は、アラート チャンネルをあふれさせるか、スタッフによって静かに無効にされます。どちらも、適切に調整された小規模なルールセットよりも悪いです。
- Snort が他のセキュリティ ツール カテゴリと対比される場合、つまりシグネチャ優先の検出 (Suricata は異なる内部構造で同じ領域をカバーし、Zeek クラス NSM はより豊富なロギングを提供し、OpenVAS 記事のような脆弱性スキャナーはさまざまな問題をカバーします)、正しい姿勢は、境界全体のストーリーとしてではなく、1 つのレイヤーとしての IDS です。
現場ノート
私たちが受け継いだ Snort センサーは、誰も調整しなかったため、2 年前にひっそりと無効化されていました。警報チャンネルは誰も読まない番号だった。私たちは、州ごとのベースラインと抑制を使用してそれを再構築しました。その結果、1 か月以内に最初に発見されたのは、侵害されたマシンの呼び出しでした。チューニングされたビートがインストールされています。
よくある質問
新しいハードウェアでは Snort または Suricata を使用しますか?
どちらのエンジンも正常です。 Suricata のマルチスレッド設計のアーチと JSON 出力は最新の SOC パイプラインに適合しますが、Snort 3 は緊密に一致し、Talos に統合されたルール パスを提供します。私たちの献身的な比較により決定が下されますが、ルール知識が 2 つの間で伝達されることに注意してください。
トラフィックはどこから来るのでしょうか?
パッシブ: スイッチ スパン ポート、ネットワーク タップ、またはハイパーバイザー vSwitch ミラー。最初にインライン化することはありません。すべてのルールがすべてのパケットを評価するため、サイジングは帯域幅だけよりも 1 秒あたりのパケット数とルール数で表されます。
ルールに対して料金を支払う必要がありますか?
コミュニティ セットは無料でラグがあり、すでに商品の脅威をカバーしています。登録済み (無料で迅速な更新) は、あらゆる運用環境にとって最小限であり、サブスクリプション ソースは、主に同日の対応が必要なハイターゲット エステートにとって重要です。
アラートの洪水を止めるにはどうすればよいですか?
まずベースラインを作成し、次に確認された正当なトラフィックの per-sid を抑制し、環境内で一致しないルールを廃止します。第 1 四半期は毎週、その後は毎月調整すると、アラートの品質は無視できるものではなく、使えるものになります。
オープンソースのセキュリティ ツール に対するKinetikatechの支援
これは何百回と対応してきたケースです：テスト ツールボックスの専門家は、スキャナー、スニッファー、クラッカー、Web プロキシなど、実際の業務での使用方法、つまりコマンド、フラグ、出力、およびそれぞれが方法論のどこに位置するのかについて説明しました。 ペネトレーションテストとLinuxサーバーセキュリティで、評価、実装、24時間体制の監視、そして重要な時に30分以内の対応という、完全なサイクルを提供します。