Snort 3

Snort 3 im Überblick

Snort ist ein Klassiker unter den quelloffenen Intrusion-Detection-/Prevention-Systemen — von Cisco getragen, analysiert es Netzwerkverkehr anhand von Regeln. Cisco/das Projekt veröffentlicht Releases (Snort 3 als aktuelle Generation); die Erkennung lebt von den Regelsätzen, die getrennt aktualisiert werden.

Für Admins besteht die Pflege aus zwei Teilen: der Engine und den Regeln (etwa aus dem Talos-/Community-Feed). Der Sprung von Snort 2 auf Snort 3 hat Architektur und Konfiguration verändert — beim Umstieg die Regelkonvertierung und Konfiguration prüfen. Snort sitzt an sensibler Stelle (oft inline oder am Spiegelport); Änderungen wollen getestet sein, damit legitimer Verkehr nicht blockiert wird. Regel-Updates sind wichtiger als seltene Engine-Updates, halten die Erkennung aber aktuell. Die eingesetzte Version verfolgen.