vendredi 10 octobre
Accueil :: Dépêches :: Entretiens :: Journaux :: Forums :: Sondages :: Suivi :: Statistiques :: Contact :: Plan

Liens connexes

Dépêche modérée par

: Sortie de Snort 2.1.0

Posté par Bilbo (). Modéré le 19 décembre 2003.
0
La version 2.1.0 de Snort vient de sortir.

Cette nouvelle branche propose une refonte presque totale de la majorité des pré-processeurs (plugins d'entrée), et une évolution majeure dans l'écriture des règles : la compatibilité avec nos merveilleuses amies les regex (expressions rationnelles). La refonte des préprocesseurs devrait encore améliorer les performances tout en diminuant les faux positifs.

Pour mémoire, Snort est un outil de détection d'intrusions réseau (NIDS). Il est completé par une multitude de plugins et d'outils d'analyse. Il est considéré comme le meilleur NIDS par beaucoup de spécialistes.

Ce qui fait sa plus grande force est la facilité d'écriture de ses règles, qui sont régulièrement mises à jour par la communauté et des sites sérieux comme WhiteHats et ArachNIDS.

> Lire les commentaires (24 commentaires, moyenne: 4,8).  

Cette discussion est archivée, il n'est plus possible de laisser des commentaires.

Note : les commentaires appartiennent à ceux qui les ont postés. Nous n'en sommes pas responsables.

[+] Re: Sortie de Snort 2.1.0

Posté par David Latapie (page perso, ) le 19/12/2003 à 16:17. (lien). Évalué à -11.

J'ai un ami fana de sécurité qui va aimer.

A moins que je confonde avec Fnord ?

P.S. : Preums

--
Panther .5, case-sensitive

[+] Re: Sortie de Snort 2.1.0

Posté par Dionysos04 () le 19/12/2003 à 16:23. (lien). Évalué à -11.

Depuis le temps que je l'attendais, ca me remplit de joie :)

Merci Bilbo

Re: Sortie de Snort 2.1.0

Posté par cedricv () le 19/12/2003 à 16:25. (lien). Évalué à 3.

avec nos merveilleuses amies les regex (expressions rationnelles)

hum... c' est pas expression régulières plutôt?

Re: Sortie de Snort 2.1.0

Posté par passant (page perso, ) le 19/12/2003 à 16:43. (lien). Évalué à 17.

Pour ceux qui aiment bien les ids, il y a également le projet prelude http://www.prelude-ids.org/.(...)

Prélude est qualifié d'hybride car il permet de surveiller un serveur comme un réseau complet grâce à la dépose de sonde sur les noeuds important du réseau. Il est - était ? - compatible avec les règles de Snort et est capable de reverser les tests de Nessus pour les transformer en règles de filtrage.

j'en ai fini avec la pub :)

bonne soirée

--
--

Frontend.

Posté par Jean-Michel Kelbert () le 19/12/2003 à 22:06. (lien). Évalué à 15.

Niveau frontend, il y a http://acidlab.sf.net(...) qui permet de se faire une représentation graphique relativement intéressante. Pour l'utiliser il faut avoir configurer snort pour qu'il intéragisse avec une base de donnée.

Acutellement la version d'acidlab n'est pas à jour dans Debian pour des histoires de licenses, et le support PostgreSQL est brisé, c'est pourquoi je suis à la recherche d'un autre fronted du même type, si vous avez des noms de porjets intéressants, je suis preneur :)

Re: Sortie de Snort 2.1.0

Posté par Yoann Vandoorselaere (page perso, ) le 21/12/2003 à 13:44. (lien). Évalué à 4.

> une refonte presque totale de la majorité des pré-processeurs (plugins d'entrée)

Une fois pour toute: il faudrait bien comprendre que Snort n'a pas de système de plugins. Les "pré-processeurs" sont linkés à la compilation de Snort. Un plugin, lui, est une librairie chargable dynamiquement et Snort ne les supporte absolument pas.

> une évolution majeure dans l'écriture des règles : la compatibilité avec nos
> merveilleuses amies les regex (expressions rationnelles).

Merveilleuse: tout dépend du contexte.
Les regex sont certe un outil très puissant, mais aussi très gourmand au niveau du temps de traitement.

Je ne sais pas si vous connaissez les rulesets Snort, mais ceux-ci sont deja remplis à outrance de signatures plus qu'inutiles, ainsi que de signatures mal écrites (typiquement, une signature essayant de reconnaitre une chaine d'un seul caractère va affecter sans commune mesure les algorithmes de traitement de chaine du type Boyer Moore, rendant ceux-ci totalement inéfficaces).

Les regex apportent une facilité dans l'écriture des signatures, mais leur utilisation va dégrader les performances de façon très importante. Alors qu'une signature similaire, et bien plus rapide, aurait souvent pu etre écrite sans le support des regex (ou avec un support des regex _limité_).

> La refonte des préprocesseurs devrait encore améliorer les performances tout
> en diminuant les faux positifs.

La refonte des préprocesseurs n'améliorera pas les performances (ou alors de façon imperceptible).

Le cout majeur en terme de performances, provient des algorithmes de recherche de chaine, ainsi que du moteur de signature de Snort qui n'utilise pas un algorithme de traversé efficace.

Revenir en haut de page

Run by Team LinuxFr.org

Cette page a été générée par Templeet en 0.1449s (dont 0.0427 de SQL).
Cette page est peut-être conforme xhtml 1.0.
Information sur le site.
Faire un don !