Релиз системы обнаружения атак Snort 2.9.9.0

15.12.2016 10:50

Компания Cisco опубликовала новый значительный релиз Snort 2.9.9.0, свободной системы обнаружения и предотвращения атак, комбинирующей в себе методы сопоставления по сигнатурам, средства для инспекции протоколов и механизмы для выявления аномалий.

Основные новшества:

Расширено число опций правил с которыми допустимо использование операции byte_math;
В выражении byte_test добавлена поддержка операций bitmask и from_end;
Добавлена утилита Buffer Dump для отслеживания использования всех буферов в процессе инспектирования в snort. Утилита собирается при указании опции "configure --enable-buffer-dump";
Добавлены новые предупреждения HTTP-препроцессора, позволяющие выявить запросы с указанием нескольких полей с размером контента и кодировкой контента (например, при подстановке фиктивных ответов провайдером);
Реализовано определение SMTP-трафика, передаваемого поверх шифрованного канала связи (SMTPS).

исправить +2 +/–

Лицензия: CC BY 3.0

Короткая ссылка: https://opennet.ru/45693-snort

Ключевые слова: snort, ids

При перепечатке указание ссылки на opennet.ru обязательно

Обсуждение (4)

RSS

1, Аноним (-), 13:14, 15/12/2016 [ответить]	+2 +/–
иэххх... когда-то это и правда была система обнаружения атак. А теперь - банальный конструктор анальных зондов.

2, минус_1_мэйнтэйнер (?), 21:42, 15/12/2016 [ответить]	+/–
suricata жи есть не?

3, Аноним (-), 12:26, 16/12/2016 [^] [^^] [^^^] [ответить]

+1 +/–

а суриката и с самого начала была конструктором анальных зондов - в отличие от снорта, который некоторое время все же был ограниченно пригоден для того, для чего формально позиционировался.

То есть надо понимать, что все эти поделия сегодня совершенно бесполезны при отсутствии постоянно отслеживаемых и обновляемых правил обнаружения. У снорта они есть, но по подписке - то есть что туда цискоиндусы напихали, то и будет. У сурикаты нет и такого. То что есть открытого - непригодно к употреблению. Самостоятельно -не получится, жизни не хватит. А вот самостоятельно собрать анальный зондик - да, можно. Собственно, именно в этом качестве их и применяют. А за IPS идут к циске/PA/прочим.

4, zanswer (?), 06:55, 17/12/2016 [^] [^^] [^^^] [ответить]	+/–
Cisco сама часть сигнатур покупает у Trend Labs, например multi-string сигнатуры.

Добавить комментарий

Текст: