ओपन-सोर्स सुरक्षा उपकरण
स्नॉर्ट: ओपन-सोर्स सिग्नेचर इंजन जिसने श्रेणी का नाम दिया
स्नॉर्ट एक ओपन-सोर्स घुसपैठ का पता लगाने वाला सिस्टम है जिसने दो दशक पहले श्रेणी को परिभाषित किया था: ट्रैफ़िक के विरुद्ध हस्ताक्षर नियमों को डिकोड किया गया, ज्ञात शोषण पैटर्न पर चेतावनी दी गई, वैकल्पिक रूप से इनलाइन को ब्लॉक किया गया। स्नॉर्ट 3 ने इंजन को आधुनिक बनाया (मल्टीथ्रेडिंग, लुआ-कॉन्फ़िगर करने योग्य नियम), और नियम पारिस्थितिकी तंत्र नेटवर्क रक्षा में सबसे बड़े में से एक बना हुआ है। यह हमारी स्नॉर्ट-बनाम-सुरिकाटा तुलना के पीछे समर्पित लेख है।
मुख्य बिंदु
- नियम की भाषा अभी भी सामान्य भाषा है: एक नियम एक प्रोटोकॉल, ट्रैफ़िक पैटर्न (पोर्ट), और पता लगाने के विकल्प (सामग्री मिलान, पीसीआरई, प्रवाह दिशा) को नाम देता है, जिसे सिड/रेव द्वारा पहचाना जाता है; हजारों टीमों का ज्ञान इस वाक्यविन्यास में लिखा गया है, और सुरीकाटा इसका अधिकांश भाग मूल रूप से पढ़ता है, जो कौशल को पोर्टेबल रखता है।
- नियम स्रोत एक त्रि-स्तरीय वास्तविकता बनाते हैं: सामुदायिक नियम 30-दिन के अंतराल के साथ मुफ़्त, पंजीकृत सेट साइनअप के बाद कम अंतराल के साथ, और ग्राहक सबसे ताज़ा बुद्धि के साथ सेट; फ़ायरवॉल-प्लस-नो-रूल्स स्नॉर्ट एक सजावट है, इसलिए स्रोत चयन पहला परिचालन निर्णय है।
- स्नॉर्ट 3 ने आधुनिकीकरण अंतर को बंद कर दिया: मल्टीथ्रेडेड पैकेट प्रोसेसिंग, लुआजेआईटी-आधारित नियम कॉन्फ़िगरेशन, और हाइपरस्कैन-क्लास मिलान आंतरिक, एक कॉन्फ़िगरेशन मॉडल की कीमत पर जिसका सीखने का क्रम स्नॉर्ट 2 से भिन्न होता है; 2026 में नई तैनाती सीधे स्नॉर्ट 3 से शुरू होनी चाहिए।
- तैनाती की दो स्थितियाँ मायने रखती हैं: आईडीएस (मिरर/स्पैन पोर्ट पर निष्क्रिय निगरानी, केवल अलर्ट) और आईपीएस (इनलाइन, ब्लॉकिंग); आईपीएस को एचए पेयरिंग और फेल-ओपन/फेल-क्लोज्ड निर्णयों की आवश्यकता होती है, इसलिए अधिकांश एस्टेट पहले आईडीएस चलाते हैं और सावधानीपूर्वक प्रचार करते हैं।
- ट्यूनिंग कार्य ही वास्तविक अनुशासन है: अपने ट्रैफ़िक को बेसलाइन करें, प्रति नियम/सिड पर झूठी सकारात्मकता को दबाएँ (नियम को अक्षम करके नहीं), और शोर वाले शेड्यूल पर थ्रेसहोल्ड को ट्यून करें; एक अव्यवस्थित स्नॉर्ट या तो अलर्ट चैनलों को बाढ़ कर देता है या कर्मचारियों द्वारा चुपचाप अक्षम कर दिया जाता है, दोनों ही एक छोटे से सुव्यवस्थित नियम से भी बदतर हैं।
- जहां स्नॉर्ट हमारी सुरक्षा-उपकरण श्रेणी के बाकी हिस्सों के मुकाबले बैठता है: यह हस्ताक्षर-प्रथम पहचान है (सुरिकाटा अलग-अलग आंतरिक के साथ एक ही जमीन को कवर करता है, ज़ीक-क्लास एनएसएम समृद्ध लॉगिंग देता है, और हमारे ओपनवीएएस आलेख जैसे भेद्यता स्कैनर विभिन्न प्रश्नों को कवर करते हैं), सही मुद्रा एक परत के रूप में आईडीएस है, पूरी परिधि कहानी के रूप में कभी नहीं।
क्षेत्रीय टिप्पणी
हमें विरासत में मिला स्नॉर्ट सेंसर दो साल पहले चुपचाप निष्क्रिय कर दिया गया था क्योंकि किसी ने इसे ट्यून नहीं किया था; अलर्ट चैनल एक ऐसा नंबर था जिसे किसी ने नहीं पढ़ा। हमने इसे प्रति-एस्टेट बेसलाइन और दमन के साथ फिर से बनाया, और एक महीने के भीतर पहली वास्तविक पकड़ एक समझौता मशीन को कॉल करने की थी। ट्यून्ड बीट्स स्थापित।
अक्सर पूछे जाने वाले प्रश्न
नए हार्डवेयर पर स्नॉर्ट या सुरीकाटा?
दोनों इंजन अच्छे हैं; सुरीकाटा का मल्टीथ्रेडेड-बाय-डिज़ाइन आर्क और JSON आउटपुट आधुनिक एसओसी पाइपलाइनों के अनुरूप है, जबकि स्नॉर्ट 3 बारीकी से मेल खाता है और टैलोस-एकीकृत नियम पथ प्रदान करता है। हमारी समर्पित तुलना निर्णय पर आधारित है, लेकिन ध्यान दें कि दोनों के बीच ज्ञान का हस्तांतरण होता है।
ट्रैफ़िक कहाँ से आता है?
निष्क्रिय: एक स्विच स्पैन पोर्ट, नेटवर्क टैप, या हाइपरवाइज़र वीस्विच मिरर, पहले कभी भी इनलाइन न करें; साइज़िंग पैकेट-प्रति-सेकंड में व्यक्त होती है और नियम गिनती अकेले बैंडविड्थ से बेहतर होती है, क्योंकि प्रत्येक नियम प्रत्येक पैकेट का मूल्यांकन करता है।
क्या मुझे नियमों के लिए भुगतान करना होगा?
सामुदायिक सेट अंतराल से मुक्त है, जो पहले से ही कमोडिटी खतरों को कवर करता है; पंजीकृत (मुफ़्त, तेज़ अपडेट) किसी भी उत्पादन परिधि के लिए न्यूनतम है, और सदस्यता स्रोत मुख्य रूप से उसी दिन कवरेज की आवश्यकता वाले उच्च-लक्ष्य संपत्तियों के लिए मायने रखता है।
मैं अलर्ट बाढ़ को कैसे रोकूँ?
पहले बेसलाइन, फिर पुष्टि-वैध ट्रैफ़िक पर प्रति-सिड को दबाएं और उन नियमों को हटा दें जो आपके वातावरण में किसी भी चीज़ से मेल नहीं खाते हैं; पहली तिमाही के दौरान साप्ताहिक ट्यून करें, फिर मासिक, और अलर्ट गुणवत्ता अनदेखी के बजाय प्रयोग करने योग्य हो जाती है।
ओपन-सोर्स सुरक्षा उपकरण में Kinetikatech कैसे सहायता करता है
आपको ओपन-सोर्स सुरक्षा उपकरण का विशेषज्ञ बनने की आवश्यकता नहीं: परीक्षण टूलबॉक्स पेशेवर वास्तव में लोड रहते हैं: स्कैनर, स्निफ़र, क्रैकर, और वेब प्रॉक्सी ने समझाया कि उनका उपयोग वास्तविक संलग्नक - कमांड, झंडे, आउटपुट, और जहां प्रत्येक एक पद्धति में बैठता है, पर किया जाता है। पैठ परीक्षण और Linux सर्वर सुरक्षा ठीक इसी हेतु है: सेटअप, hardening, निगरानी, और दिन-रात उपलब्ध मानव सहायता।