Snort: 카테고리 이름을 붙인 오픈 소스 서명 엔진

핵심 내용

• 규칙 언어는 여전히 링구아 프랑카입니다. 규칙은 sid/rev로 식별되는 프로토콜, 트래픽 패턴(포트) 및 탐지 옵션(콘텐츠 일치, PCRE, 흐름 방향)의 이름을 지정합니다. 수천 개의 팀의 지식이 이 구문으로 작성되고 Suricata는 대부분의 지식을 기본적으로 읽으므로 기술의 이식성을 유지합니다.
• 규칙 소스는 3단계 현실을 형성합니다. 즉, 30일 지연이 있는 무료 커뮤니티 규칙 세트, 가입 후 더 짧은 지연이 있는 등록 세트, 최신 정보가 포함된 구독자 세트입니다. 방화벽에 규칙이 없는 Snort는 장식이므로 소스 선택이 첫 번째 운영 결정입니다.
• Snort 3는 학습 곡선이 Snort 2와 다른 구성 모델을 희생하면서 멀티스레드 패킷 처리, LuaJIT 기반 규칙 구성 및 Hyperscan 클래스 일치 내부 기능 등 현대화 격차를 해소했습니다. 2026년의 새로운 배포는 Snort 3에서 직접 시작되어야 합니다.
• 두 가지 배포 상태가 중요합니다. IDS(미러/스팬 포트의 수동 모니터링, 경고 전용) 및 IPS(인라인, 차단)입니다. IPS에는 HA 페어링 및 페일오픈/페일클로즈 결정이 필요하므로 대부분의 자산에서는 IDS를 먼저 실행하고 신중하게 홍보합니다.
• 튜닝 작업은 실제 규율입니다. 트래픽 기준을 설정하고, 규칙/SID별로 오탐을 억제하고(규칙을 비활성화하지 않음), 시끄러운 일정에 대한 임계값을 조정합니다. 조정되지 않은 Snort는 경보 채널을 넘치게 하거나 직원에 의해 조용히 비활성화됩니다. 둘 다 잘 조정된 작은 규칙 세트보다 더 나쁩니다.
• Snort가 보안 도구 범주의 나머지 부분과 비교되는 부분은 서명 우선 탐지입니다(Suricata는 서로 다른 내부로 동일한 영역을 다루고, Zeek급 NSM은 더 풍부한 로깅을 제공하며 OpenVAS 기사와 같은 취약성 스캐너는 다양한 질문을 다룹니다). 올바른 자세는 IDS가 전체 경계 스토리가 아닌 하나의 레이어라는 것입니다.

현장 노트

우리가 물려받은 Snort 센서는 2년 전에 아무도 조정하지 않았기 때문에 조용히 비활성화되었습니다. 경고 채널은 아무도 읽지 않는 숫자였습니다. 우리는 이를 자산별 기준선과 억제 기능으로 재구축했는데, 한 달 만에 처음으로 실제로 발견된 것은 손상된 시스템이 호출하는 것이었습니다. 튜닝된 비트가 설치되었습니다.

자주 묻는 질문