Компания Softwink анонсировала выпуск Sagan 0.1.0, многопоточной системы мониторинга системных журналов и событий. Программа использует наборы правил сигнатур, подобные правилам Snort, для определения нежелательных событий, происходящих в локальной сети и с обслуживаемыми системами. Если Sagan обнаруживает подобные нежелательные события, то они могут сохраняться в единой базе данных системы обнаружения атак (MySQL/PostgreSQL) для сопоставления с соответствующими событиями Snort. Предполагается, что Sagan используется как централизованная система обработки системных журналов, но при необходимости он может быть использован и для мониторинга отдельных рабочих станций.

Sagan имеет высокую скорость работы: он написан на Си и является многопоточным приложением. Многопоточность используется с целью избежания блокировки ввода-вывода. Таким образом, обработка данных не прерывается в то время, когда, например, необходимо послать SQL-запрос, и достигается большая эффективность работы с процессорной мощностью и памятью системы.

Sagan использует наборы правил сигнатур, подобные используемым в Snort и совместим с утилитами управления правилами, такими, как "oinkmaster". Sagan может использовать базу Snort для записи своих событий, являясь отдельным сенсором для Snort и интегрируясь во все доступные пользовательские интерфейсы Snort, например BASE, для того, в которых теперь можно видеть ещё и системные журналы.

В то же время, Sagan может работать и без Snort, используя вывод в различные поддерживаемые форматы, такие как стандартный формат журнала (подобный Snort), оповещение по e-mail (с использованием libesmtp), поддерживается использование Logzilla и любых внешних программ, которые можно разработать на любом языке программирования (Perl/Python/C/и др.).

Другие возможности:

• Sagan достаточно просто установить и настроить в соответствии с предпочтениями по функциональности. Традиционный способ "./configure && make && make install" работает в большинстве случаев.
• Поддерживается установка порогов оповещений в формате правил сигнатур Snort.
• Система старается определить IP-адреса, порты и информацию о протоколе по правилу сигнатуры, которое вызвало событие, с тем, чтобы было проще соотнести несколько событий друг с другом.
• Система может быть использована для мониторинга практически любого типа оборудования и систем (маршрутизаторов, межсетевых экранов, управляемых коммутаторов, систем обнаружения и предотвращения вторжений, Unix/Linux систем, журналов событий Windows, и многих других).
• Поддерживаются пользовательские интерфейсы Snort, такие как BASE, Snortby, коммерческие консоли интерфейсов, различные системы подготовки отчётов, основанные на Snort.
• Sagan - программное обеспечение с открытым исходным кодом и распространяется по лицензии GNU/GPL версии 2.

Исходные тексты Sagan распространяются в рамках лицензии GPLv2 и активно разрабатывается компанией Softwink, Inc., которая поддерживает разработку исходного кода и правил сигнатур. Компания разработчик сама использует Sagan в своей сети для круглосуточного мониторинга событий системных журналов, связанных с безопасностью.