เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส
Snort: เครื่องมือลายเซ็นโอเพ่นซอร์สที่ตั้งชื่อหมวดหมู่
Snort เป็นระบบตรวจจับการบุกรุกแบบโอเพ่นซอร์สที่กำหนดหมวดหมู่เมื่อสองทศวรรษที่แล้ว: กฎลายเซ็นที่ถอดรหัสจากการรับส่งข้อมูล แจ้งเตือนรูปแบบการหาประโยชน์ที่ทราบ สามารถเลือกบล็อกแบบอินไลน์ได้ Snort 3 ปรับปรุงกลไกให้ทันสมัย (มัลติเธรด กฎที่กำหนดค่าได้ Lua) และระบบนิเวศของกฎยังคงเป็นหนึ่งในระบบนิเวศที่ใหญ่ที่สุดในการป้องกันเครือข่าย นี่เป็นบทความเฉพาะเบื้องหลังการเปรียบเทียบ Snort-vs-Suricata ของเรา
ประเด็นสำคัญ
- ภาษาของกฎยังคงเป็นภาษากลาง: กฎจะตั้งชื่อโปรโตคอล รูปแบบการรับส่งข้อมูล (พอร์ต) และตัวเลือกการตรวจจับ (การจับคู่เนื้อหา PCRE ทิศทางการไหล) ระบุโดย sid/rev ความรู้ของทีมนับพันถูกเขียนในรูปแบบนี้ และ Suricata จะอ่านความรู้ส่วนใหญ่โดยกำเนิด ซึ่งทำให้ทักษะต่างๆ สามารถเคลื่อนย้ายได้
- แหล่งที่มาของกฎสร้างความเป็นจริงสามระดับ: กฎของชุมชนไม่มีความล่าช้า 30 วัน ชุดที่ลงทะเบียนมีความล่าช้าน้อยกว่าหลังจากสมัครใช้งาน และผู้สมัครสมาชิกตั้งค่าด้วย Intel ที่สดใหม่ที่สุด Snort ไฟร์วอลล์บวกไม่มีกฎเป็นการตกแต่ง ดังนั้นการเลือกแหล่งที่มาจึงเป็นการตัดสินใจในการปฏิบัติงานครั้งแรก
- Snort 3 ปิดช่องว่างในการปรับปรุงให้ทันสมัย: การประมวลผลแพ็กเก็ตแบบมัลติเธรด, การกำหนดค่ากฎที่ใช้ LuaJIT และการจับคู่ภายในคลาส Hyperscan ด้วยต้นทุนของโมเดลการกำหนดค่าที่มีเส้นโค้งการเรียนรู้แตกต่างจาก Snort 2 การปรับใช้ใหม่ในปี 2569 ควรเริ่มต้นโดยตรงกับ Snort 3
- ตำแหน่งการใช้งานสองประการมีความสำคัญ: IDS (การตรวจสอบแบบพาสซีฟบนพอร์ตมิเรอร์/ช่วง การแจ้งเตือนเท่านั้น) และ IPS (อินไลน์ การบล็อก); IPS ต้องการการจับคู่ HA และการตัดสินใจแบบเปิด/ปิดไม่สำเร็จ ดังนั้น นิคมอุตสาหกรรมส่วนใหญ่จึงเรียกใช้ IDS ก่อนและโปรโมตอย่างระมัดระวัง
- งานปรับแต่งถือเป็นวินัยที่แท้จริง: กำหนดพื้นฐานการรับส่งข้อมูลของคุณ ระงับผลบวกลวงต่อกฎ/sid (ไม่ใช่โดยการปิดใช้งานกฎ) และปรับเกณฑ์ตามกำหนดเวลาที่มีเสียงดัง Snort ที่ไม่ได้รับการปรับแต่งจะทำให้ช่องสัญญาณแจ้งเตือนล้นหลามหรือถูกปิดใช้งานอย่างเงียบ ๆ โดยเจ้าหน้าที่ ทั้งสองอย่างนี้แย่กว่ากฎเกณฑ์ที่มีขนาดเล็กกว่าที่ได้รับการปรับแต่งมาอย่างดี
- Snort อยู่ตรงข้ามกับหมวดหมู่เครื่องมือรักษาความปลอดภัยอื่นๆ ของเรา: เป็นการตรวจจับโดยอาศัยลายเซ็นก่อน (Suricata ครอบคลุมพื้นที่เดียวกันกับภายในที่แตกต่างกัน NSM ระดับ Zeek ให้การบันทึกที่สมบูรณ์ยิ่งขึ้น และเครื่องสแกนช่องโหว่เช่นบทความ OpenVAS ของเราครอบคลุมคำถามที่แตกต่างกัน) ตำแหน่งที่ถูกต้องคือ IDS เป็นเลเยอร์เดียว ไม่เคยเป็นเรื่องราวของขอบเขตทั้งหมด
บันทึกจากหน้างาน
เซ็นเซอร์ Snort ที่เราสืบทอดมาถูกปิดการใช้งานอย่างเงียบๆ เมื่อสองปีก่อนเพราะไม่มีใครปรับมัน ช่องแจ้งเตือนเป็นตัวเลขที่ไม่มีใครอ่าน เราสร้างมันขึ้นมาใหม่โดยมีพื้นฐานต่ออสังหาริมทรัพย์และการระงับ และสิ่งที่จับได้จริงครั้งแรกภายในหนึ่งเดือนก็คือเครื่องที่ถูกบุกรุกร้องออกมา ติดตั้งจังหวะที่ปรับแต่งแล้ว
คำถามที่พบบ่อย
Snort หรือ Suricata บนฮาร์ดแวร์ใหม่?
เครื่องยนต์ทั้งสองมีเสียง Arch แบบมัลติเธรดโดยการออกแบบและเอาต์พุต JSON ของ Suricata เหมาะกับไปป์ไลน์ SOC สมัยใหม่ ในขณะที่ Snort 3 จับคู่กันอย่างใกล้ชิดและเสนอเส้นทางกฎที่รวม Talos การเปรียบเทียบเฉพาะของเราจะช่วยในการตัดสินใจ แต่โปรดทราบว่าความรู้เกี่ยวกับกฎเกณฑ์จะถ่ายทอดระหว่างคนทั้งสอง
การจราจรมาจากไหน?
แบบพาสซีฟ: พอร์ตช่วงสวิตช์ การแตะเครือข่าย หรือมิเรอร์ไฮเปอร์ไวเซอร์ vSwitch ไม่เคยอินไลน์ก่อน การกำหนดขนาดจะแสดงเป็นแพ็กเก็ตต่อวินาทีและกฎนับได้ดีกว่าแบนด์วิดท์เพียงอย่างเดียว เนื่องจากทุกกฎจะประเมินทุกแพ็กเก็ต
ฉันจำเป็นต้องจ่ายเงินสำหรับกฎหรือไม่?
ชุดชุมชนนั้นไม่มีความล่าช้าซึ่งครอบคลุมถึงภัยคุกคามสินค้าโภคภัณฑ์อยู่แล้ว ที่ลงทะเบียนแล้ว (อัปเดตฟรีและเร็วกว่า) เป็นขั้นต่ำสำหรับขอบเขตการผลิตใดๆ และแหล่งการสมัครสมาชิกมีความสำคัญสำหรับอสังหาริมทรัพย์เป้าหมายสูงที่ต้องการความคุ้มครองภายในวันเดียวกัน
ฉันจะหยุดการแจ้งเตือนน้ำท่วมได้อย่างไร
พื้นฐานก่อน จากนั้นระงับ per-sid บนการรับส่งข้อมูลที่ถูกต้องตามกฎหมายและยกเลิกกฎที่ไม่ตรงกับสิ่งใดในสภาพแวดล้อมของคุณ ปรับรายสัปดาห์ในช่วงไตรมาสแรก จากนั้นรายเดือน และคุณภาพการแจ้งเตือนจะใช้งานได้แทนที่จะเพิกเฉยได้
Kinetikatech ช่วยเรื่อง เครื่องมือรักษาความปลอดภัยโอเพ่นซอร์ส ได้อย่างไร
เราเคยรับเรื่องแบบนี้มาเป็นร้อยครั้ง: ผู้เชี่ยวชาญด้านกล่องเครื่องมือทดสอบมักโหลดอยู่เสมอ: เครื่องสแกน เครื่องดมกลิ่น แครกเกอร์ และเว็บพรอกซี อธิบายวิธีการใช้งานเครื่องมือเหล่านี้ในภารกิจจริง เช่น คำสั่ง แฟล็ก เอาท์พุต และตำแหน่งที่แต่ละเครื่องมืออยู่ในระเบียบวิธี กับ การทดสอบการเจาะระบบและความปลอดภัยเซิร์ฟเวอร์ Linux คุณได้วงจรครบ ตั้งแต่เราประเมิน ลงมือทำ เฝ้าดูตลอดเวลา และรับเรื่องภายใน 30 นาทีเมื่อจำเป็น