ids入侵特征庫創(chuàng)建實例解析-文庫吧
2025-01-03 04:06 本頁面
【正文】 DS系統(tǒng)的特征數(shù)據(jù)庫過期或者這些通訊信息本身就不是攻擊或探測數(shù)據(jù)，IDS系統(tǒng)并沒有對它們進行關(guān)注，而這時你的好奇心升起，想在這些可疑數(shù)據(jù)再次經(jīng)由時發(fā)出報警，想捕捉它們、仔細看看它們到底來自何方、有何貴干，因此，唯一的辦法就是對現(xiàn)有特征數(shù)據(jù)庫進行一些定制配置或者編寫新的特征數(shù)據(jù)了?！ √卣鞯亩ㄖ苹蚓帉懗潭瓤纱挚杉殻耆Q于實際需求。或者是只判斷是否發(fā)生了異常行為而不確定具體是什么攻擊名號，從而節(jié)省資源和時間；或者是判斷出具體的攻擊手段或漏洞利用方式，從而獲取更多的信息。我感覺，前者適用于領(lǐng)導(dǎo)同志，后者需要具體做事者使用，宏觀加微觀，敵人別想遛進來！ 三、首席特征代表：報頭值（HeaderValues） 報頭值的結(jié)構(gòu)比較簡單，而且可以很清楚地識別出異常報頭信息，因此，特征數(shù)據(jù)的首席候選人就是它。一個經(jīng)典的例子是：明顯違背RFC793中規(guī)定的TCP標準、設(shè)置了SYN和FIN標記的TCP數(shù)據(jù)包。這種數(shù)據(jù)包被許多入侵軟件采用，向防火墻、路由器以及IDS系統(tǒng)發(fā)起攻擊。異常報頭值的來源有以下幾種： 因為大多數(shù)操作系統(tǒng)和應(yīng)用軟件都是在假定RFC被嚴格遵守的情況下編寫的，沒有添加針對異常數(shù)據(jù)的錯誤處理程序，所以許多包含報頭值的漏洞利用都會故意違反RFC的標準定義，明目張膽地揭發(fā)被攻擊對象的偷工減料行為?！ ≡S多包含錯誤代碼的不完善軟件也會產(chǎn)生違反RFC定義的報頭值數(shù)據(jù)?！ 〔⒎撬械牟僮飨到y(tǒng)和應(yīng)用程序都能全面擁護RFC定義，至少會存在一個方面與RFC不協(xié)調(diào)?！ ‰S著時間推移，執(zhí)行新功能的協(xié)議可能不被包含于現(xiàn)有RFC中?！ ∮捎谝陨蠋追N情況，嚴格基于RFC的IDS特征數(shù)據(jù)就有可能產(chǎn)生漏報或誤報效果。對此，RFC也隨著新出現(xiàn)的違反信息而不斷進行著更新，我們也有必要定期地回顧或更新存在的特征數(shù)據(jù)定義?！ 》欠▓箢^值是特征數(shù)據(jù)的一個非常基礎(chǔ)的部分，合法但可疑的報頭值也同等重要。例如，如果存在到端口31337或27374的可疑連接，就可報警說可能有特洛伊木馬在活動；再附加上其他更詳細地探測信息，就能夠進一步地判斷是真馬還是假馬?！ ∷?、確定特征“候選人” 為了更好地理解如何開發(fā)基于報頭值的特殊數(shù)據(jù)，下面通過分析一個實例的整個過程進行詳細闡述?！ ynscan是一個流行的用于掃描和探測系統(tǒng)的工具，由于它的代碼被用于創(chuàng)建蠕蟲Ramen的開始片斷而在2001年早期大出風(fēng)頭。Synscan的執(zhí)行行為很具典型性，它發(fā)出的信息包具有多種可分辨的特性，包括： 不同的來源IP地址信息 TCP來源端口21，目標端口21
試題試卷相關(guān)推薦
鄂ICP備17016276號-1