PFSENSE
Snort y Suricata son dos de los sistemas de detección y prevención de intrusiones (IDS/IPS) más populares del mundo. Ambos sistemas utilizan firmas, reglas y análisis de protocolos para detectar tráfico malicioso en las redes.
Esta publicación de blog habla sobre las similitudes y diferencias entre Snort y Suricat.
La historia de Snort y Suricata
Snort fue lanzado en 1998. Es una solución madura y establecida con más de 600,000 usuarios reportados. Durante años, los ingenieros optaron por Snort como una solución de monitoreo en tiempo real debido a su vasto conjunto de reglas, alta precisión y floreciente soporte de la comunidad. Luego, en 2010, la Open Information Security Foundation (OISF) comenzó a construir Suricata. Suricata es similar en muchos aspectos y puede usar casi todas las mismas reglas disponibles en Snort.
OISF comenzó a construir Suricata con el objetivo de abordar las limitaciones de capacidad que enfrentan los sistemas de detección y prevención de intrusiones. Cuando el hardware de un IDS/IPS se usa en exceso, el sistema comienza a soltar paquetes. Esto abre la puerta al tráfico malicioso que ingresa a la red sin ser detectado. Los atacantes pueden aprovechar esta limitación sobrecargando intencionalmente el sistema. Suricata está diseñado para mejorar la capacidad de procesamiento y proteger contra este tipo de ataques.
Similitudes entre Snort y Suricata
Multithreading
Multithreading permite que el software se divida en múltiples subprocesos y se ejecute en diferentes núcleos de CPU en paralelo. Varios subprocesos disminuyen la velocidad a la que las reglas adicionales ralentizan el tiempo de procesamiento. Esto no solo es valioso para proteger contra ataques de sobrecarga, sino que también ofrece protección general adicional, ya que las demandas de procesamiento en los sistemas de detección de intrusos han crecido junto con el tráfico de red en los últimos años.
Además de los nuevos complementos, el manejo de TCP reescrito y otras características, Snort introdujo capacidades de subprocesos múltiples en la versión Snort 3.0. A partir de Snort 3.0, tanto Snort como Suricata ofrecen capacidades de subprocesos múltiples.
Detección de intrusiones basada en red
Ambos sistemas son sistemas de detección de intrusos basados en red (NIDS). NIDS detecta el tráfico malicioso en toda una red, lo que permite a las organizaciones monitorear sus entornos de red en la nube, virtuales y locales en busca de eventos sospechosos.
Detección de intrusiones basada en firmas y anomalías
Snort y Suricata implementan la detección basada en firmas y en anomalías. La detección basada en firmas mide los paquetes contra un conjunto de reglas predefinido, lo que permite a las organizaciones identificar amenazas con gran precisión. La detección basada en anomalías, por otro lado, utiliza el aprendizaje automático para modelar patrones de tráfico de línea base y, a continuación, alerta a las organizaciones del tráfico atípico. Esto permite a los administradores tener visibilidad de patrones de comportamiento inusuales para los que pueden no haber creado conjuntos de reglas. La combinación de las dos técnicas de detección permite un monitoreo claro y completo, lo que hace que tanto Snort como Suricata sean soluciones muy potentes.
Prevención de intrusiones
Para las organizaciones que buscan ir más allá de la detección, tanto Snort como Suricata están equipados con sistemas de prevención de intrusiones. Los sistemas de prevención de intrusiones toman medidas para detener las amenazas potenciales detectadas por los sistemas de detección de intrusos.
Diferencias entre Snort y Suricata
En la actualidad, no hay diferencias significativas entre las dos tecnologías. Hay pequeñas diferencias relacionadas con los conjuntos de reglas, nuevas versiones, etc., pero nuevamente, son menores.
Por ejemplo, los conjuntos de reglas de Snort se separan en un conjunto de reglas de comunidad y un conjunto de reglas de suscriptor, mientras que Suricata tiene un conjunto de reglas ETOpen y un conjunto de reglas ETPro.
El conjunto de reglas de la comunidad de Snort y el conjunto de reglas ETOpen de Suricata son impulsados por las contribuciones de la comunidad. El conjunto de reglas de la comunidad de Snort tiene aproximadamente 4,000 reglas y ETOpen tiene más de 40,000. ETOpen también recibe actualizaciones de un equipo interno, mientras que el conjunto de reglas de la comunidad de Snort es actualizado exclusivamente por la comunidad.
El conjunto de reglas de suscriptor y ETPro, por otro lado, no son de código abierto y son desarrollados por equipos internos. A pesar de la diferencia en los nombres, ambos paquetes separan sus conjuntos de reglas de la misma manera. Los conjuntos de reglas pagadas están diseñados de manera más intencional y coherente que los conjuntos de reglas de la comunidad; Están diseñados para defenderse estratégicamente contra el malware moderno y no dependen únicamente de los esfuerzos de crowdsourcing. Funcionalmente, ambos conjuntos de reglas pagadas son casi equivalentes. La única diferencia es que, dependiendo de su caso de uso (hogar o negocio), una opción puede tener un costo de suscripción más bajo que la otra.
Conclusión
En general, los dos paquetes comparten muchas más similitudes que diferencias. No hay una respuesta definitiva sobre qué paquete debe usar su equipo. Si se encuentra en una encrucijada, siempre puede probar ambos paquetes para su caso específico y evaluar el rendimiento. Podrá saber si un paquete está marcando más falsos positivos en su red que el otro, o si hay una diferencia notable en la velocidad.
La buena noticia es que, independientemente de la solución que elija, será compatible con el software pfSense Plus. Para obtener ayuda con el proceso de configuración, consulte nuestra documentación.
Preguntas frecuentes
¿Qué es un sistema de detección y prevención de intrusiones?
Un sistema de prevención de intrusiones (IPS), o a veces denominado sistema de detección y prevención de intrusiones (IDPS), es un componente esencial de cualquier sistema de seguridad. Esta avanzada tecnología de seguridad de red escanea su tráfico entrante en tiempo real, en busca de actividades sospechosas que podrían amenazar la seguridad de su organización. Si se detecta algo fuera de lo común, tomará medidas de inmediato para prevenir cualquier daño potencial antes de que pueda ocurrir.
¿Cómo se usa Snort?
Snort está diseñado para vigilar el tráfico de red entrante y saliente, alertando rápidamente a los usuarios si descubre paquetes sospechosos o amenazas potenciales. Con su sistema de notificación en tiempo real, los usuarios pueden estar seguros de que sus redes IP están seguras de actores maliciosos.
¿Para qué se utiliza Suricata?
Suricata es estándar en defensa de red y detección de amenazas. Al igual que Snort, detecta y detiene las amenazas de red.
