Como usar este guia
O conteúdo foi revisado em setembro de 2026 com foco operacional. Procedimentos sensíveis devem ser testados primeiro em laboratório, com backup, acesso de recuperação e rollback documentado. Exemplos usam placeholders e não devem receber credenciais reais.
Não exponha interfaces administrativas, chaves, dumps, amostras de malware ou logs sensíveis no portal público. Em produção, aplique segmentação, privilégio mínimo e retenção definida.
Linha atual
Para novas implantações, trate Snort 3 como base. Não copie parâmetros de Snort 2 sem validar compatibilidade de configuração e regras.
Pipeline
Aquisição → decodificação → inspeção → regras → ação/log. Entender o estágio que falhou evita “corrigir” regra quando o tráfego nem chega ao sensor.
Regras
Use regras mantidas, controle sid/rev e crie regras locais em namespace documentado. Teste sintaxe e tráfego conhecido antes de produção.
IDS/IPS
IDS observa; IPS inline pode bloquear. Inline exige bypass/fail-open/fail-close decidido conscientemente e teste de capacidade.
OpenAppID
Detecção de aplicação complementa assinaturas tradicionais e ajuda em política/visibilidade, mas precisa de atualização e tuning.
Performance
Meça drops, throughput, latência, filas e custo de regras. Um sensor saturado produz falsa sensação de cobertura.
Checklist antes de considerar concluído
- Versão e documentação do componente foram confirmadas.
- Fluxos de rede e privilégios necessários estão explicitamente definidos.
- Configuração foi validada antes de reload/restart quando houver comando de teste.
- Logs e métricas confirmam o comportamento esperado.
- Falha controlada e recuperação foram testadas em ambiente seguro.
- Backup, rollback e acesso de emergência são verificáveis.