IPS 入侵检测系统，Snort 3.0 Alpha 发布

Cisco 在周四宣布最受欢迎的 IPS 入侵检测系统 —— Snort 已经完全重写，提供很多新特性。

Cisco 在2013年10月以 27 亿美元收购了 Sourcefire 公司，并承诺继续支持 Snort，目前该项目已经成为公司下一代 IPS 的基础。目前已经有超过 500 万次下载。事实上 Snort 已经成为入侵检测的事实标准，Snort 的规则被多个安全研究者使用。

现在 Cisco 发布了 Snort++，也就是 Snort 3.0 的 Alpha 版本。

Snort 3.0 让入侵检测更加方便，包括文档和配置方面、错误支持以及启动时的配置校验。Cisco 尝试让该工具变得简单易用。

此外对 Snort 的规则语言进行简化，改进包括：粘性缓冲区、自定义 HTTP 缓冲区和自动检测协议等。同时命令行工具也进行了更新，允许重新加载配置，暂停和恢复检测；支持多线程，并为多个线程提供一个单一的持久化配置。

目前 Snort 3.0 的代码已经放到 Github 上。

Snort有 三种工作模式：嗅探器、数据包记录器、网络入侵检测系统模式。嗅探器模式仅仅是从网络上读取数据包并作为连续不断的流显示在终端上。数据包记录器模式把数 据包记录到硬盘上。网路入侵检测模式分析网络数据流以匹配用户定义的一些规则，并根据检测结果采取一定的动作。网络入侵检测系统模式是最复杂的，而且是可 配置的。

Snort可以用来监测各种数据包如端口扫描等之外，还提供了以XML形式或数据库形式记录日志的各种插件。