SHADOW (Secondary Heuristic Analysis for Defensive Online Warfare)

Система SHADOW разработана в Naval Surface Warfare Center, подразделении морской пехоты США. Система изначально разрабатывалась в открытых исходных текстах [14]. SHADOW работает под управлением ОС Linux и состоит из двух типов компонентов — сенсора сетевого трафика и анализатора. Они могут находиться на одном узле, или на разных узлах.

Сенсор основан на библиотеке libpcap и утилите tcpdump, которые широко доступны на различных платформах UNIX. Требованием для сенсора является наличие выделенной машины для его работы. Задачей сенсора — сбор и архивирование сетевого трафика по типам протоколов (задается административно при конфигурировании сенсора).

Анализатор собирает данные с сенсоров и применяет к ним специализированные фильтры, содержащие сигнатуры известных атак и сигнатуры, заданные пользователем.

Сенсоры и анализаторы должны располагаться на выделенных быстродействующих компьютерах. Наибольшие требования производительности предъявляются компьютеру, на котором работает анализатор — им должна быть машина с максимально возможным быстродействием центрального процессора (производительностью узлов определяется порог скорости передачи данных в каналах связи, до превышения которого не будет пропущен ни один сетевой пакет).

Язык реализации системы Perl.