เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส
Snort vs Suricata: เครื่องยนต์ไหนคอยจับตาดูสายของคุณ?
Snort และ Suricata แบ่งปัน DNA ของระบบนิเวศการตรวจจับ (ไวยากรณ์ของกฎ, กฎ ET, การประมวลผล pcap) และแตกต่างกันตามสถาปัตยกรรมและเอาต์พุต ทางเลือกนั้นไม่ค่อยมีเรื่องที่ 'ดีกว่า' มากกว่ารูปร่างของไปป์ไลน์ของทีมของคุณ: สายเลือด Talos ของ Snort และประวัติ IPS เทียบกับทรูพุตแบบมัลติเธรดของ Suricata และการรวม SOC แรกของ JSON การเปรียบเทียบนี้เป็นตารางการตัดสินใจ
ประเด็นสำคัญ
- สถาปัตยกรรมกำหนดความเหมาะสม: Snort 3 มาถึงมัลติเธรดผ่านการออกแบบใหม่ (การกำหนดค่า Lua, การจับคู่ Hyperscan) ในขณะที่ Suricata เป็นแบบมัลติเธรดโดยกำเนิด (ไปป์ไลน์ของผู้ปฏิบัติงาน AF_PACKET) ซึ่งหมายความว่าการตรวจจับปริมาณงานสูงยังคงเป็นเส้นทางที่ราบรื่นยิ่งขึ้นของ Suricata และขอบเขตขนาดเล็กยังคงทำงานได้ดี
- เอาท์พุตจะตัดสินสแต็กของคุณ: EVE JSON ของ Suricata (โฟลว์ ข้อมูลเมตาของโปรโตคอล การแจ้งเตือน) ลงจอดในไปป์ไลน์ Elastic โดยตรง และเปิดใช้งานการวิเคราะห์ข้อมูลเมตาแม้ระหว่างการแจ้งเตือน ในขณะที่รูปแบบรวม 2/การแจ้งเตือนแบบคลาสสิกของ Snort จะให้บริการกลุ่มเครื่องมือ Snort ที่จัดตั้งขึ้น สำหรับ SOC ที่เน้น JSON เป็นหลัก โมเดลข้อมูลของ Suricata ถือเป็นข้อได้เปรียบในการปฏิบัติงานอย่างแท้จริง
- กฎสามารถพกพาได้ และนั่นคือข้อดีอันเงียบสงบของตลาด: กลไกทั้งสองอ่านชุดกฎของ ET และไวยากรณ์ลายเซ็นส่วนใหญ่ ดังนั้นการสมัครรับกฎและความรู้ในการตรวจจับจึงเป็นการลงทุนที่ดำเนินการกับกลไกทั้งสอง ส่วนขยาย Suricata บางส่วน (คำสำคัญข้อมูลเมตา บริบท xbits) จะไม่เดินทางกลับไปยัง Snort
- ท่าทางของ IPS นั้นเป็นไปได้และเจ็บปวดทั้งคู่: การออกแบบแบบเปิด/ปิดเมื่อล้มเหลวแบบอินไลน์, การจับคู่ HA สำหรับความยืดหยุ่น และการเชื่อมโยงนโยบายกับเลเยอร์ไฟร์วอลล์ ดังนั้นคำแนะนำที่สมจริงสำหรับพื้นที่ส่วนใหญ่จึงเน้น IDS แบบพาสซีฟเป็นหลักโดยไม่คำนึงถึงกลไก โดยส่งเสริมให้เป็นแบบอินไลน์สำหรับส่วนที่มีมูลค่าสูงเท่านั้น
- ความพร้อมในการปฏิบัติงานแตกต่างกันไปตามรสชาติ: Snort มีสายเลือดที่ยาวกว่าบวกกับ Cisco Talos Intel ซึ่งเหมาะสำหรับช่องทำเครื่องหมายการจัดซื้อจัดจ้าง Suricata มีการดูแล OISF, ระบบนิเวศของปลั๊กอิน และเรื่องราวการทำงานร่วมกันของ Zeek (ไปป์ไลน์ PCAP ถึง NSM) แพทช์ทั้งสองทำงานอยู่และไม่มีการละทิ้งซอฟต์แวร์
- ขั้นตอนการตัดสินใจสะท้อนการเปรียบเทียบอื่นๆ ของเรา: จัดรายการไปป์ไลน์ของคุณ (จุดสแต็ก JSON SOC ที่ Suricata; สร้าง Snort toolchain ที่ Snort) จับคู่ขอบเขตฮาร์ดแวร์ของคุณ (ปริมาณการประมวลผลและคอร์) เลือกพาธของกฎตาม SLA ภัยคุกคาม และโปรดทราบว่าการสลับกลไกในภายหลังเป็นโปรเจ็กต์การปรับแต่งมากกว่าการสร้างใหม่ เนื่องจากความรู้ทำหน้าที่ทั้งสองอย่าง
บันทึกจากหน้างาน
ทีมที่เราแนะนำให้ใช้งาน Snort เป็นเวลาแปดปีก่อนที่จะเปลี่ยนมาใช้ Suricata สำหรับไปป์ไลน์ SOC ใหม่ของพวกเขา และกฎและทักษะก็ดำเนินไปในทิศทางเดียวกัน ความคิดเห็นของพวกเขาหลังการตัดทอน: "มันเป็นโครงการปรับแต่ง ไม่ใช่การโยกย้าย" นั่นคือสิ่งที่ระบบนิเวศที่ใช้ร่วมกันซื้อให้คุณ
คำถามที่พบบ่อย
การเรียนรู้ง่ายกว่าไหม?
ไวยากรณ์ของกฎถูกแชร์ ดังนั้นทักษะการตรวจจับจึงถูกถ่ายโอน การกำหนดค่าของ Suricata มีแนวโน้มที่จะอธิบายว่าเป็น JSON/YAML ที่สะอาดกว่า ในขณะที่เอกสารระดับองค์กรของ Snort และการรวม Talos มีช่องทำเครื่องหมายใบรับรองการปรับใช้ส่วนใหญ่
เราควรรันทั้งสองอย่างพร้อมกันหรือไม่?
ไม่ซ้ำซ้อน: เซ็นเซอร์สองตัวที่เฝ้าดูช่วงเดียวกันจะเพิ่มสัญญาณรบกวนเป็นสองเท่าและลดการอ่านลงครึ่งหนึ่ง และการตรวจจับที่ทับซ้อนกันมีสูง รันหนึ่งเอ็นจิ้นได้ดีโดยมีกฎที่ปรับแต่งแล้ว ให้ใช้กล่องที่สองสำหรับข้อมูลเมตาคลาส NSM/Zeek แทน
สิ่งใดที่บูรณาการกับ SIEM ของเราได้ดีกว่า
Suricata สำหรับไปป์ไลน์ JSON-native (เอาต์พุต EVE ฟีด Elastic/OpenSearch โดยตรง), Snort โดยที่ SIEM ของคุณมี Snort parsers/unified2 handlers อยู่แล้ว ผู้ชนะคือฝ่ายใดจะหลีกเลี่ยงเลเยอร์การแยกวิเคราะห์แบบกำหนดเอง
มีความแตกต่างด้านฮาร์ดแวร์ที่ต้องเคารพหรือไม่
ทั้งสองต้องการคอร์สำหรับไปป์ไลน์ของผู้ปฏิบัติงาน Suricata ปรับขนาดคอร์ได้นุ่มนวลขึ้นที่ pps สูงบน Linux (AF_PACKET/AF_XDP) และขอบเขตเล็กๆ จะทำงานอย่างมีความสุขในกล่องสินค้าโภคภัณฑ์กล่องเดียวพร้อมกับเอ็นจิ้นตัวใดตัวหนึ่ง
Kinetikatech ช่วยเรื่อง เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส ได้อย่างไร
เราเคยรับเรื่องแบบนี้มาเป็นร้อยครั้ง: ผู้เชี่ยวชาญด้านกล่องเครื่องมือทดสอบมักโหลดอยู่เสมอ: เครื่องสแกน เครื่องดมกลิ่น แครกเกอร์ และเว็บพรอกซี อธิบายวิธีการใช้งานเครื่องมือเหล่านี้ในภารกิจจริง เช่น คำสั่ง แฟล็ก เอาท์พุต และตำแหน่งที่แต่ละเครื่องมืออยู่ในระเบียบวิธี กับ การทดสอบการเจาะระบบและความปลอดภัยเซิร์ฟเวอร์ Linux คุณได้วงจรครบ ตั้งแต่เราประเมิน ลงมือทำ เฝ้าดูตลอดเวลา และรับเรื่องภายใน 30 นาทีเมื่อจำเป็น