SentinelFlow
SentinelFlow سامانهٔ بلادرنگ تشخیص نفوذ شبکه است؛ ترافیک زنده یا فایل pcap را دریافت می‌کند، سرآیند پروتکل‌ها را در چند لایهٔ OSI تحلیل می‌کند، امضاهای شناخته‌شدهٔ حمله و ناهنجاری‌ها را می‌یابد و هشدار را به کنسول و CSV می‌فرستد.
۰۱ / نمای کلی
- ۰۱C++17
- ۰۲libpcap
- ۰۳CMake
- ۰۴Google Test
- ۰۵قواعد الهام‌گرفته از Snort
- ۰۶فیلترهای BPF
مسئله
تشخیص نفوذ نیازمند بررسی عمیق بسته با سرعت شبکه است. محصولات تجاری IDS شفاف نیستند؛ ساخت از صفر نشان می‌دهد تحلیل پروتکل، تطبیق امضا و بررسی حالت‌مند چگونه کار می‌کنند.
نمای کلی راهکار
- تحلیل لایه‌ای Ethernet، IPv4، TCP، UDP، ICMP، DNS و ARP پیاده شد.
- موتور قواعد قابل‌تنظیم با الهام از Snort برای تطبیق انعطاف‌پذیر امضا ساخته شد.
- تشخیص حالت‌مند اسکن پورت، سیل SYN و تونل‌سازی DNS اضافه شد.
- توان عملیاتی 500K+ بسته در ثانیه، در تجزیهٔ تک‌ریسمانی ترافیک مصنوعی SYN.
۰۲ / شواهد
شواهد و راستی‌آزمایی
- توان عملیاتی: 500K+ بسته در ثانیه در تجزیهٔ تک‌ریسمانی SYN مصنوعی.
- پوشش 7 پروتکل در لایه‌های 2-7.
- 27 آزمون واحد و یکپارچگی؛ همگی موفق.
- پشتیبانی دریافت زنده و تحلیل فایل pcap.
۰۳ / روش‌ها
پیاده‌سازی
پشته فناوری
- C++17
- libpcap
- CMake
- Google Test
- قواعد الهام‌گرفته از Snort
- فیلترهای BPF
- دریافت زندهٔ شبکه با libpcap و فیلتر BPF قابل‌تنظیم.
- تحلیل لایه‌ای Ethernet، IPv4، TCP، UDP، ICMP، DNS و ARP.
- موتور قواعد قابل‌تنظیم با الهام از Snort و تطبیق امضا.
- تشخیص حالت‌مند اسکن پورت، سیل SYN و تونل‌سازی DNS.
امنیت
- هشدار رنگی بر اساس شدت، از LOW تا CRITICAL.
- 27 آزمون واحد و یکپارچگی برای همهٔ لایه‌های پروتکل.
- خروجی CSV برای تحلیل جرم‌یابی دیجیتال و یکپارچگی SIEM.
- فیلترهای قابل‌تنظیم BPF برای دریافت هدفمند.