ids入侵特征庫創(chuàng)建實(shí)例解析(已修改)
2025-01-30 04:06 本頁面
【正文】 IDS入侵特征庫創(chuàng)建實(shí)例解析555影視IDS要有效地捕捉入侵行為，必須擁有一個(gè)強(qiáng)大的入侵特征數(shù)據(jù)庫，這就如同公安部門必須擁有健全的罪犯信息庫一樣。但是，IDS一般所帶的特征數(shù)據(jù)庫都比較死板，遇到“變臉”的入侵行為往往相逢不相識(shí)。因此，管理員有必要學(xué)會(huì)如何創(chuàng)建滿足實(shí)際需要的特征數(shù)據(jù)樣板，做到萬變應(yīng)萬變！本文將對(duì)入侵特征的概念、種類以及如何創(chuàng)建特征進(jìn)行介紹，希望能幫助讀者盡快掌握對(duì)付“變臉”的方法。 一、特征（signature）的基本概念 IDS中的特征就是指用于判別通訊信息種類的樣板數(shù)據(jù)，通常分為多種，以下是一些典型情況及識(shí)別方法： 來自保留IP地址的連接企圖：可通過檢查IP報(bào)頭（IPheader）的來源地址輕易地識(shí)別?！ в蟹欠═CP標(biāo)志聯(lián)合物的數(shù)據(jù)包：可通過對(duì)比TCP報(bào)頭中的標(biāo)志集與已知正確和錯(cuò)誤標(biāo)記聯(lián)合物的不同點(diǎn)來識(shí)別。 含有特殊病毒信息的Email：可通過對(duì)比每封Email的主題信息和病態(tài)Email的主題信息來識(shí)別，或者，通過搜索特定名字的附近來識(shí)別?！ 〔樵冐?fù)載中的DNS緩沖區(qū)溢出企圖：可通過解析DNS域及檢查每個(gè)域的長(zhǎng)度來識(shí)別利用DNS域的緩沖區(qū)溢出企圖。還有另外一個(gè)識(shí)別方法是：在負(fù)載中搜索“殼代碼利用”（eXPloitshellcode）的序列代碼組合。 通過對(duì)POP3服務(wù)器發(fā)出上千次同一命令而導(dǎo)致的DoS攻擊：通過跟蹤記錄某個(gè)命令連續(xù)發(fā)出的次數(shù)，看看是否超過了預(yù)設(shè)上限，而發(fā)出報(bào)警信息。 未登錄情況下使用文件和目錄命令對(duì)FTP服務(wù)器的文件訪問攻擊：通過創(chuàng)建具備狀態(tài)跟蹤的特征樣板以監(jiān)視成功登錄的FTP對(duì)話、發(fā)現(xiàn)未經(jīng)驗(yàn)證卻發(fā)命令的入侵企圖。 從以上分類可以看出特征的涵蓋范圍很廣，有簡(jiǎn)單的報(bào)頭域數(shù)值、有高度復(fù)雜的連接狀態(tài)跟蹤、有擴(kuò)展的協(xié)議分析。一葉即可知秋，本文將從最簡(jiǎn)單的特征入手，詳細(xì)討論其功能及開發(fā)、定制方法?！ ×硗庹?qǐng)注意：不同的IDS產(chǎn)品具有的特征功能也有所差異。例如：有些網(wǎng)絡(luò)IDS系統(tǒng)只允許很少地定制存在的特征數(shù)據(jù)或者編寫需要的特征數(shù)據(jù)，另外一些則允許在很寬的范圍內(nèi)定制或編寫特征數(shù)據(jù)，甚至可以是任意一個(gè)特征；一些IDS系統(tǒng)只能檢查確定的報(bào)頭或負(fù)載數(shù)值，另外一些則可以獲取任何信息包的任何位置的數(shù)據(jù)?！ 《?、特征有什么作用？ 這似乎是一個(gè)答案很明顯的問題：特征是檢測(cè)數(shù)據(jù)包中的可疑內(nèi)容是否真正“不可就要”的樣板，也就是“壞分子克隆”。IDS系統(tǒng)本身就帶有這個(gè)重要的部分，為什么還需要定制或編寫特征呢？是這樣：也許你經(jīng)常看到一些熟悉的通訊信息流在網(wǎng)絡(luò)上游蕩，由于I
試題試卷相關(guān)推薦
鄂ICP備17016276號(hào)-1