今天，Cisco Talos 为 Cisco Secure Firewall 中的 Snort3 用户推出新功能。这些增强功能旨在让您在管理、组织和优先排序检测规则方面拥有更大的灵活性。它们还能让您更轻松地使 SNORT® 规则与您组织的特定安全需求保持一致。
新的“Severity”规则组
在 Snort3 中，规则组允许您根据特定条件组织和检测规则。此前，只有两个顶级组可用：
- Rule Category：按 Snort2 类别对规则进行分组，例如 FILE-OTHER、MALWARE-CNC 等。
- MITRE ATT&CK：按攻击者行为和技术对规则进行分组
这些组允许您设置从 0（禁用所有规则）到 4（启用所有规则）的安全级别。
新的 Severity 规则组引入了第三种组织规则的方式——按漏洞严重性，使用 CVSS 评分。规则被分组为 low、medium、high 或 critical，使您的团队能够根据漏洞的影响和紧迫性来优先排序检测，而不仅仅是根据类别或行为。
这使您更容易将注意力和资源集中在最重要的地方。
基于时间范围的灵活规则组创建
使用 Severity 组，您可以定义希望覆盖范围向前追溯多久：
| 级别 | 覆盖范围 | 描述 | | --- | --- | --- | | 0 | 无 | 未启用任何规则 | | 1 | 最近 2 年 | 侧重于近期、高影响的漏洞 | | 2 | 最近 5 年 | 近期和中期威胁的平衡覆盖 | | 3 | 最近 10 年 | 面向长期运行环境的广泛覆盖 | | 4 | 全部 | 包括迄今为止检测到的所有漏洞 |
这种方法让您可以精确控制规则选择和数量。它有助于优化性能，同时确保您的检测策略与您组织的补丁周期、合规要求和风险状况相匹配。
我们还计划在未来几个季度开发更多顶级分组。更多细节将在适当时候分享。
这对你的环境意味着什么
以前配置 Snort3 需要逐条启用规则，或者应用预定义的规则集后再手动调优。我们知道这并不是最高效的流程，因此 Snort 分析团队通过今天发布的新功能对其进行了简化。
- 启用与你内部策略一致的规则组
- 在多个环境中扩展配置，而无需管理单条规则
- 按时间范围或严重性级别轻松调整检测深度
这些能力让维护一致且有针对性检测覆盖变得更简单——无论你运行的是大型分布式网络，还是具有定制安全优先级的较小环境。
结论
新的 Severity 规则组和扩展后的规则组模型为 Snort3 用户提供了更大的灵活性和控制力。
通过根据漏洞严重性和时间范围来组织规则，你可以将检测集中在影响最大的地方，从而提升威胁管理的效率和准确性。
转载声明：本文为转载整理，原文版权归原作者及原站点所有。
原文来源：Cisco Talos Blog
原文作者：Alex McDonnell；如有侵权，请联系管理员删除。
