Snort 3

This page preserves the same technical scope as the Portuguese edition and follows a validate-before-change workflow. Test sensitive procedures in a lab and keep rollback evidence.

Para novas implantações, trate Snort 3 como base. Não copie parâmetros de Snort 2 sem validar compatibilidade de configuração e regras.

Aquisição → decodificação → inspeção → regras → ação/log. Entender o estágio que falhou evita “corrigir” regra quando o tráfego nem chega ao sensor.

Use regras mantidas, controle sid/rev e crie regras locais em namespace documentado. Teste sintaxe e tráfego conhecido antes de produção.

IDS observa; IPS inline pode bloquear. Inline exige bypass/fail-open/fail-close decidido conscientemente e teste de capacidade.

Detecção de aplicação complementa assinaturas tradicionais e ajuda em política/visibilidade, mas precisa de atualização e tuning.

Meça drops, throughput, latência, filas e custo de regras. Um sensor saturado produz falsa sensação de cobertura.

• https://docs.snort.org/