ids入侵特征庫創(chuàng)建實(shí)例解析-全文預(yù)覽
【正文】 ，這2類數(shù)值應(yīng)在數(shù)據(jù)包間有所不同，因此，如果持續(xù)不變，就表明可疑。這種端口相同的情況一般被稱為“反身”（reflexive），除了個別時候如進(jìn)行一些特別NetBIOS通訊外，正常情況下不應(yīng)該出現(xiàn)這種現(xiàn)象。我們要尋找的是非法、異常或可疑數(shù)據(jù)，大多數(shù)情況下，這都反映出攻擊者利用的漏洞或者他們使用的特殊技術(shù)。例如，如果存在到端口31337或27374的可疑連接，就可報警說可能有特洛伊木馬在活動；再附加上其他更詳細(xì)地探測信息，就能夠進(jìn)一步地判斷是真馬還是假馬。 隨著時間推移，執(zhí)行新功能的協(xié)議可能不被包含于現(xiàn)有RFC中。這種數(shù)據(jù)包被許多入侵軟件采用，向防火墻、路由器以及IDS系統(tǒng)發(fā)起攻擊?！ √卣鞯亩ㄖ苹蚓帉懗潭瓤纱挚杉?xì)，完全取決于實(shí)際需求。 另外請注意：不同的IDS產(chǎn)品具有的特征功能也有所差異?！ ⊥ㄟ^對POP3服務(wù)器發(fā)出上千次同一命令而導(dǎo)致的DoS攻擊：通過跟蹤記錄某個命令連續(xù)發(fā)出的次數(shù)，看看是否超過了預(yù)設(shè)上限，而發(fā)出報警信息?！ в蟹欠═CP標(biāo)志聯(lián)合物的數(shù)據(jù)包：可通過對比TCP報頭中的標(biāo)志集與已知正確和錯誤標(biāo)記聯(lián)合物的不同點(diǎn)來識別。IDS入侵特征庫創(chuàng)建實(shí)例解析555影視IDS要有效地捕捉入侵行為，必須擁有一個強(qiáng)大的入侵特征數(shù)據(jù)庫，這就如同公安部門必須擁有健全的罪犯信息庫一樣?！ ∫?、特征（signature）的基本概念 IDS中的特征就是指用于判別通訊信息種類的樣板數(shù)據(jù)，通常分為多種，以下是一些典型情況及識別方法： 來自保留IP地址的連接企圖：可通過檢查IP報頭（IPheader）的來源地址輕易地識別。還有另外一個識別方法是：在負(fù)載中搜索“殼代碼利用”（eXPloitshellcode）的序列代碼組合。一葉即可知秋，本文將從最簡單的特征入手，詳細(xì)討論其功能及開發(fā)、定制方法。IDS系統(tǒng)本身就帶有這個重要的部分，為什么還需要定制或編寫特征呢？是這樣：也許你經(jīng)?？吹揭恍┦煜さ耐ㄓ嵭畔⒘髟诰W(wǎng)絡(luò)上游蕩，由于IDS系統(tǒng)的特征數(shù)據(jù)庫過期或者這些通訊信息本身就不是攻擊或探測數(shù)據(jù)，IDS系統(tǒng)并沒有對它們進(jìn)行關(guān)注，而這時你的好奇心升起，想在這些可疑數(shù)據(jù)再次經(jīng)由時發(fā)出報警，想捕捉它們、仔細(xì)看看它們到底來自何方、有何貴干，因此，唯一的辦法就是對現(xiàn)有特征數(shù)據(jù)庫進(jìn)行一些定制配置或者編寫新的特征數(shù)據(jù)了。一個經(jīng)典的例子是：明顯違背RFC793中規(guī)定的TCP標(biāo)準(zhǔn)、設(shè)置了SYN和FIN標(biāo)記的TCP數(shù)據(jù)包。 并非所有的操作系統(tǒng)和應(yīng)用程序都能全面擁護(hù)RFC定義，至少會存在一個方面與RFC不協(xié)調(diào)。 非法報頭值是特征數(shù)據(jù)的一個非常
試題試卷相關(guān)推薦
鄂ICP備17016276號-1