Hardware Perfomance

Hi Tuxbrother,

Not going to get into the debate about Suricata vs Snort as it's early morning where I am and discussing govt sponsored software, especially in light of recent revelations vis a vis NSA & Snowden, is not how I start my day. [:)]

As was mentioned in that Snort blog you referred to, tuning IPS for 1Gb streams is not trivial. Some of the stuff they deal with is beyond the scope of what we can tune here but there are a couple of things to keep in mind.

Big thing to remember about Snort is that a single stream is limited to a single instance. You can't have the same stream scanned by several snort instances at the same time. You can however, have multiple streams scanned by multiple instances.

That means that in a multi-user environment you can improve the aggregate scanning speed by scaling up the number of instances of Snort running. However, single streams are still going to be limited to the speed of a single Snort instance.

So how do we improve that? Biggest thing to improve scan speed is CPU speed. That means MHz, plain and simple. The biggest thing to avoid, Dynamic Frequency Scaling. Nothing kills IPS performance like a CPU that's waiting for increased load to increase core speed.

William first mentioned this, and I've taken it to heart, is that when planning a build for the Sophos UTM, unless you are in a larger environment where the extra cores will be used, focus of core speed vs core count.

Hi Tuxbrother,

Not going to get into the debate about Suricata vs Snort as it's early morning where I am and discussing govt sponsored software, especially in light of recent revelations vis a vis NSA & Snowden, is not how I start my day. [:)]

As was mentioned in that Snort blog you referred to, tuning IPS for 1Gb streams is not trivial. Some of the stuff they deal with is beyond the scope of what we can tune here but there are a couple of things to keep in mind.

Big thing to remember about Snort is that a single stream is limited to a single instance. You can't have the same stream scanned by several snort instances at the same time. You can however, have multiple streams scanned by multiple instances.

That means that in a multi-user environment you can improve the aggregate scanning speed by scaling up the number of instances of Snort running. However, single streams are still going to be limited to the speed of a single Snort instance.

So how do we improve that? Biggest thing to improve scan speed is CPU speed. That means MHz, plain and simple. The biggest thing to avoid, Dynamic Frequency Scaling. Nothing kills IPS performance like a CPU that's waiting for increased load to increase core speed.

William first mentioned this, and I've taken it to heart, is that when planning a build for the Sophos UTM, unless you are in a larger environment where the extra cores will be used, focus of core speed vs core count.