> une refonte presque totale de la majorité des pré-processeurs (plugins d'entrée)
Une fois pour toute: il faudrait bien comprendre que Snort n'a pas de système de plugins. Les "pré-processeurs" sont linkés à la compilation de Snort. Un plugin, lui, est une librairie chargable dynamiquement et Snort ne les supporte absolument pas.
> une évolution majeure dans l'écriture des règles : la compatibilité avec nos
> merveilleuses amies les regex (expressions rationnelles).
Merveilleuse: tout dépend du contexte.
Les regex sont certe un outil très puissant, mais aussi très gourmand au niveau du temps de traitement.
Je ne sais pas si vous connaissez les rulesets Snort, mais ceux-ci sont deja remplis à outrance de signatures plus qu'inutiles, ainsi que de signatures mal écrites (typiquement, une signature essayant de reconnaitre une chaine d'un seul caractère va affecter sans commune mesure les algorithmes de traitement de chaine du type Boyer Moore, rendant ceux-ci totalement inéfficaces).
Les regex apportent une facilité dans l'écriture des signatures, mais leur utilisation va dégrader les performances de façon très importante. Alors qu'une signature similaire, et bien plus rapide, aurait souvent pu etre écrite sans le support des regex (ou avec un support des regex _limité_).
> La refonte des préprocesseurs devrait encore améliorer les performances tout
> en diminuant les faux positifs.
La refonte des préprocesseurs n'améliorera pas les performances (ou alors de façon imperceptible).
Le cout majeur en terme de performances, provient des algorithmes de recherche de chaine, ainsi que du moteur de signature de Snort qui n'utilise pas un algorithme de traversé efficace.
# Re: Sortie de Snort 2.1.0
Posté par Yoann Vandoorselaere . En réponse à la dépêche Sortie de Snort 2.1.0. Évalué à 4.
Une fois pour toute: il faudrait bien comprendre que Snort n'a pas de système de plugins. Les "pré-processeurs" sont linkés à la compilation de Snort. Un plugin, lui, est une librairie chargable dynamiquement et Snort ne les supporte absolument pas.
> une évolution majeure dans l'écriture des règles : la compatibilité avec nos
> merveilleuses amies les regex (expressions rationnelles).
Merveilleuse: tout dépend du contexte.
Les regex sont certe un outil très puissant, mais aussi très gourmand au niveau du temps de traitement.
Je ne sais pas si vous connaissez les rulesets Snort, mais ceux-ci sont deja remplis à outrance de signatures plus qu'inutiles, ainsi que de signatures mal écrites (typiquement, une signature essayant de reconnaitre une chaine d'un seul caractère va affecter sans commune mesure les algorithmes de traitement de chaine du type Boyer Moore, rendant ceux-ci totalement inéfficaces).
Les regex apportent une facilité dans l'écriture des signatures, mais leur utilisation va dégrader les performances de façon très importante. Alors qu'une signature similaire, et bien plus rapide, aurait souvent pu etre écrite sans le support des regex (ou avec un support des regex _limité_).
> La refonte des préprocesseurs devrait encore améliorer les performances tout
> en diminuant les faux positifs.
La refonte des préprocesseurs n'améliorera pas les performances (ou alors de façon imperceptible).
Le cout majeur en terme de performances, provient des algorithmes de recherche de chaine, ainsi que du moteur de signature de Snort qui n'utilise pas un algorithme de traversé efficace.