Snort vs. Suricata: Unterschied zwischen den Versionen
Zur Navigation springen
Zur Suche springen
| Zeile 12: | Zeile 12: | ||
*Dies ist besonders nützlich, wenn Sie Dateien für eine spätere Analyse in einem Ordner aufbewahren müssen. | *Dies ist besonders nützlich, wenn Sie Dateien für eine spätere Analyse in einem Ordner aufbewahren müssen. | ||
=Multithreading= | =Multithreading= | ||
| − | * | + | * Suricata wurde nach Snort entwickelt, weshalb es viele Funktionen beiinhaltet, die heutzutage nicht mehr wegzudenken sind |
| − | + | * Eine dieser Funktionen ist die Unterstützung für Multithreading. | |
| − | *Eine dieser Funktionen ist die Unterstützung für Multithreading. | + | * Ab der Version 3 wurde Snort von Grundauf neu entwickelt und unterstützt nun auch Multithreading |
| − | *Ab der Version 3 wurde Snort von Grundauf neu entwickelt und unterstützt nun auch Multithreading | + | |
=Ich mag nicht kompilieren= | =Ich mag nicht kompilieren= | ||
*Um Snort als IPS laufen zu lassen muss man es Stand 9/2022 selbstkompilieren | *Um Snort als IPS laufen zu lassen muss man es Stand 9/2022 selbstkompilieren | ||
Version vom 27. Juli 2023, 10:08 Uhr
Open source IDS: Snort or Suricata?
Allgemein
- Snort hat eine beträchtliche Community-Unterstützung und verfügt daher über ein breites Regelwerk, das häufig aktualisiert wird.
- Es unterstützt benutzerdefinierte Regeln und obwohl beide Optionen Open Source sind, hat Snort weniger ein „Paywall-Gefühl“.
- Suricata kann dieselben Regeln anwenden wie Snort.
- Es veröffentlicht auch Regelsätze, jedoch auf Abonnementbasis vor Ablauf von 30 Tagen.
- Suricata verfügt über zusätzliche Funktionen, die einen besser konfigurierbaren Regelsatz ermöglichen.
Erkennung
- Suricata unterstützt direkt die Erkennung auf Anwendungsebene, während Snort eine zusätzliche Ebene – OpenAppID – benötigt, um Anwendungen zu erkennen.
Dateiextraktion
- Suricata unterstützt die Dateiextraktion, während Snort dies nicht tut.
- Dies ist besonders nützlich, wenn Sie Dateien für eine spätere Analyse in einem Ordner aufbewahren müssen.
Multithreading
- Suricata wurde nach Snort entwickelt, weshalb es viele Funktionen beiinhaltet, die heutzutage nicht mehr wegzudenken sind
- Eine dieser Funktionen ist die Unterstützung für Multithreading.
- Ab der Version 3 wurde Snort von Grundauf neu entwickelt und unterstützt nun auch Multithreading
Ich mag nicht kompilieren
- Um Snort als IPS laufen zu lassen muss man es Stand 9/2022 selbstkompilieren
- Man kann auch ein Debian Paket selbst bauen. Man muss die DAQ(Data Acquisition library) mit kompilieren.
- Nur so kann man Pakete von IP/NF Tables übernehmen.
- Suricata kann das von Haus aus.
Links
- https://resources.infosecinstitute.com/open-source-ids-snort-suricata/
- https://tacticalflex.zendesk.com/hc/en-us/articles/360010678893-Snort-vs-Suricata