开源IDS:Snort还是Suricata?[更新于2019]

尽管早期类型的网络入侵检测系统一直要追溯到20世纪80年代早期,但当Martin Roesch创建他的免费和开源IDS系统SNORT时,IDS的概念起飞了。由于其轻巧的设计和灵活的部署选项,Snort的用户群在接下来的几年中迅速增长。2001年,Martin Roesch创建了Sourcefire公司(2013年被思科收购),使用基于SNORT的商业IDS产品。SNORT的原始免费和开源版本仍然可用,目前广泛用于全球网络。与此同时,一些竞争对手在开源IDS领域取得了进展,其中最着名的是Suricata。下面来介绍一下SNORT和Suricata的主要区别,以及如何选择IDS产品?

规则

IDS解决方案仅适用可应用于受监控流量的可用规则。Snort一直有很多社区支持,产生了一个实质性的规则集,并定期更新。规则的语法非常简单,程序结构允许任何人将自定义规则部署到其IDS中或与社区共享。一些商业公司也制定了SNORT规则,可以按月或按年购买。如Talos的SO / VRT规则和CrowdStrikes的威胁情报服务

Suricata可以使用与SNORT相同的规则。许多(但不是全部)VRT规则仍然有效。Suricata有自己的规则集,最初发布给付费订阅者,30到60天才后免费提供Emerging Threats。这些规则更多地利用了Suricata提供的附加功能,例如未知端口协议检测和自动文件检测以及文件提取

应用检测

从Snorts诞生的早期开始,就已经提到Snort不是“应用程序感知的”。它只是查看符合其规则的流量,并在匹配时采取行动(报警、丢弃等)。预处理器通过将流量整形为可应用的规则格式来协助执行,例如执行解压缩和解码,但是Snort不需要理解是哪个应用程序生成的数据。

业务需求随着时间的推移而发生变化,为了适应市场,Snort 在2014年推出了2.9.1版本的OpenAppID。OpenAppID支持通过所谓的第7层检测器检测应用程序。虽然已知应用程序的存在并不总是直接的安全事件(例如Dropbox的使用),但它确实可以更好地理解网络中存在的内容。不仅可以找到以前未知的应用程序,而且还可以通过将AppID链接到传统的SNORT IDS / IPS规则来丢弃或警告其流量。

Suricata在这个领域的工作略有不同。它支持应用层检测规则,例如,可以根据协议识别非标准端口上的HTTP或SSH流量。然后,它还会将协议特定的日志设置应用于这些检测。

在这个领域并没有真正更好或更差的产品,它实际上取决于企业正在寻找什么。由于两者都是完全开源的,因此设置测试环境相对快速而且廉价。

多线程

Suricata的主要优点之一是它最近比Snort开发得更好。这意味着它拥有更多的功能,这些功能目前几乎是不容错过的。其中一个功能是支持多线程。多年来网络流量的增加大大提高了IDS设备的处理需求(以每秒数据包为单位),而Suricata一开始就支持多线程。但是,Snort不支持多线程。无论CPU包含多少个核心,Snort都只使用一个核心或线程。虽然有一个相当复杂的解决方法,就是运行多个SNORT单线程实例,全部进入同一个日志。但是,管理此过程(AutoFP)的额外开销和硬件的高成本意味着在生产环境中很少会去应用。SNORT3将支持多线程,但它仍处于Alpha阶段。不建议在生产环境中使用Alpha阶段产品。毫无疑问,多线程是考虑Suricata而不是Snort的强有力论据。

文件提取

Suricata支持文件提取。这是一个非常有用的功能,允许在触发包含选项“filestore”的规则后自动提取所选文件。例如,可以提取所有.pdf文件或所有单个像素.png文件,并将它们存储在预配置的文件夹中,以进行进一步的手动分析,VirusTotal查找甚至自动沙盒。

选择方案

虽然Snort和Suricata都是最受欢迎的开源入侵检测系统,但也有一些替代方案。前面提到的更新的SNORT3版本非常有前途,它支持多线程,服务识别和更直接的规则语言。它已经开发了很多年,Alpha阶段可以追溯到2014年,但目前生产版本还没有最终确定发布日期。

传统的IDS / IPS解决方案也有其他选择,但这些解决方案有时可能略有不同。比如Bro Network Security Monitor,更多的是一种异常检测系统。在Snort和Suricata使用传统IDS签名的情况下,Bro使用脚本来分析流量。Bro的一个显著优点是,这些脚本还允许在不同系统之间实现高度自动化的工作流,这种方法允许比旧的传递或删除操作更精细的决策,但它的配置非常复杂。

结论

还有几个其他的很好开源IDS选项,但是,由于它们的不同,并非所有解决方案都能适用于所有环境。应基于已经存在的其他可能重叠的安全产品、网络的流量类型、带宽和可用IT员工的技能组合来选择最佳的IDS产品。

原文地址