Atvirojo kodo saugos įrankiai
Snort vs Suricata: kuris variklis stebi jūsų laidą?
Snort ir Suricata dalijasi aptikimo ekosistemos DNR (taisyklės sintaksė, ET taisyklės, pcap apdorojimas) ir skiriasi architektūra bei išvestimi. Pasirinkimas yra ne toks, kuris yra „geresnis“, o ne jūsų komandos dujotiekio forma: „Snort's Talos“ linija ir IPS istorija, palyginti su „Suricata“ daugiasriegiu pralaidumu ir JSON pirmąja SOC integracija. Šis palyginimas yra sprendimų lentelė.
Pagrindiniai punktai
- Architektūra apibrėžia tinkamumą: Snort 3 pasiekė kelių gijų pertvarkymą (Lua config, Hyperscan atitikimas), o Suricata buvo sukurta daugiasriegiu būdu (AF_PACKET darbuotojo vamzdynai), o tai reiškia, kad didelio našumo jutiklis išlieka sklandesnis Suricata kelias, o nedideli perimetrai vis dar veikia gerai.
- Išvestis apsprendžia jūsų krūvą: Suricata EVE JSON (srautai, protokolo metaduomenys, įspėjimai) tiesiogiai patenka į elastinius konvejerius ir įgalina metaduomenų analizę net tarp įspėjimų, o klasikiniai Snort unified2/alert formatai aptarnauja nusistovėjusias Snort įrankių grandines; Pirmojo JSON SOC atveju Suricata duomenų modelis yra tikras veiklos pranašumas.
- Taisyklės yra nešiojamos, ir tai yra tyli rinkos malonė: abu varikliai skaito ET taisyklių rinkinius ir daugumą parašo sintaksės, todėl taisyklių pasirašymas ir aptikimo žinios yra investicija, kuri perkeliama į bet kurį variklį; kai kurie Suricata plėtiniai (metaduomenų raktiniai žodžiai, xbits kontekstai) nekeliauja atgal į Snort.
- IPS pozos yra įmanomos ir skausmingos: įtaisytos nesėkmingo atidarymo / nesėkmingo uždarymo dizainas, HA poros, užtikrinančios atsparumą, ir politikos sujungimas su ugniasienės sluoksniais, todėl realistiška rekomendacija daugeliui konstrukcijų yra pasyvi IDS, neatsižvelgiant į variklį, skatinant įtraukti tik didelės vertės segmentus.
- Veikimo branda skiriasi pagal skonį: „Snort“ turi ilgesnę kilmę ir „Cisco Talos“ intel, tinka pirkimų žymimiesiems laukeliams; Suricata turi OISF priežiūrą, papildinių ekosistemą ir Zeek sąveikos istoriją (PCAP į NSM vamzdynus); abu pleistrai aktyviai, nė vienas nėra abandonware.
- Sprendimo priėmimo procedūra atspindi kitus mūsų palyginimus: inventorizuokite savo konvejerį (JSON SOC kamino taškus Suricata; sukurtą Snort įrankių grandinę Snort), suderinkite savo aparatinės įrangos apvalkalą (pralaidumą ir branduolius), pasirinkite taisyklių kelius pagal grėsmės SLA ir atminkite, kad variklių perjungimas vėliau yra derinimo projektas, o ne atkūrimas, nes žinios padeda abiem.
Pastaba iš praktikos
Mūsų patarta komanda valdė „Snort“ aštuonerius metus, o vėliau iškeitė į Suricatą į savo naująjį SOC dujotiekį, o taisyklės ir įgūdžiai buvo tiesiogiai taikomi. Jų komentaras po pertraukos: „tai buvo derinimo projektas, o ne migracija“. Būtent tai jus perka bendra ekosistema.
Dažniausiai užduodami klausimai
Ar lengviau išmokti?
Taisyklių sintaksė yra bendra, todėl aptikimo įgūdžių perdavimas; „Suricata“ konfigūracija paprastai apibūdinama kaip švaresnė JSON / YAML, o „Snort“ įmonės dokumentacijoje ir „Talos“ integracijoje yra daugumos diegimo sertifikatų žymės langeliai.
Ar turėtume paleisti abu iš karto?
Perteklinis ne: du jutikliai, stebintys tą patį intervalą, padidina triukšmą dvigubai ir perpus sumažina rodmenis, o aptikimo persidengimas yra didelis; gerai paleiskite vieną variklį su suderintomis taisyklėmis, vietoj to naudokite antrą langelį NSM / Zeek klasės metaduomenims.
Kuris geriau integruojamas su mūsų SIEM?
Suricata, skirta JSON vietiniams konvejeriams (EVE išvestis tiesiogiai tiekia Elastic / OpenSearch), „Snort“, kai jūsų SIEM jau turi „Snort“ analizatorius / unified2 tvarkykles; laimi tas, kuris išvengia pasirinktinio analizavimo sluoksnio.
Ar turite gerbti aparatūros skirtumus?
Abu nori branduolių darbuotojo vamzdynui; „Suricata“ sklandžiau išskaido branduolius esant dideliam pps sistemoje „Linux“ (AF_PACKET / AF_XDP), o nedideli perimetrai sklandžiai veikia vienoje prekių dėžutėje su bet kuriuo varikliu.
Kaip Kinetikatech padeda su atvirojo kodo saugos įrankiai
Atvirai — dauguma komandų kreipiasi į mus pirmiau pabandžiusios pačios: Testavimo įrankių rinkinio profesionalai iš tikrųjų yra įkrauti: skaitytuvai, snifferiai, krekeriai ir žiniatinklio įgaliotieji serveriai paaiškino, kaip jie naudojami realioms užduotims atlikti – komandos, vėliavėlės, išvestis ir kur kiekviena iš jų yra metodikoje. Mūsų paslauga Pratimų testai ir Linux serverių sauga skirta tam, kad jums nereikėtų atvirojo kodo saugos įrankiai pažinti sunkiausiu keliu; mes pasirūpiname paleidimu, priežiūra ir netikėtumais trečią valandą nakties.