ids入侵特征庫創(chuàng)建實例解析-免費閱讀
【正文】 而且，解析此類協(xié)議還需要更多更復雜的編程代碼，完全不如TCP等簡單。因為ICMP和UDP信息包是無狀態(tài)的，所以大多數(shù)情況下，需要對它們的每一個“屬下”都進行檢查。還是那個觀點，創(chuàng)建什么樣的特征、創(chuàng)建哪些特征，取決于實際需求，實踐是檢測創(chuàng)建何種特征的唯一標準嗎！ 七、報頭值關鍵元素小結，信息包種類檢查分析 從上面討論的例子中，我們看到了可用于創(chuàng)建IDS特征的多種報頭值信息?！ ≌{整我們的探測目標，只關注普通的異常行為，而不是特殊的異常行為，創(chuàng)建識別普通異常行為的通用特征?！ ∈紫瓤匆粋€“變臉”synscan所發(fā)出的數(shù)據(jù)信息特征： 只設置了SYN標志，這純屬正常的TCP數(shù)據(jù)包“長相”。當然，根據(jù)環(huán)境的不同，及時地調整或組合特征數(shù)據(jù)，才是達到最優(yōu)效果的不二法門。盡管能夠精確地提供行為信息，但是比僅僅使用一個數(shù)據(jù)作為特征而言，會顯得遠遠缺乏效率。 TCP窗口尺寸為1028，IP鑒定號碼在所有數(shù)據(jù)包中為39426。Synscan的執(zhí)行行為很具典型性，它發(fā)出的信息包具有多種可分辨的特性，包括： 不同的來源IP地址信息 TCP來源端口21，目標端口21 服務類型0 IP鑒定號碼39426（IPidentificationnumber） 設置SYN和FIN標志位 不同的序列號集合（sequencenumbersset） 不同的確認號碼集合（acknowledgmentnumbersset） TCP窗口尺寸1028 下面我們對以上這些數(shù)據(jù)進行篩選，看看哪個比較合適做特征數(shù)據(jù)。 并非所有的操作系統(tǒng)和應用程序都能全面擁護RFC定義，至少會存在一個方面與RFC不協(xié)調。IDS系統(tǒng)本身就帶有這個重要的部分，為什么還需要定制或編寫特征呢？是這樣：也許你經(jīng)?？吹揭恍┦煜さ耐ㄓ嵭畔⒘髟诰W(wǎng)絡上游蕩，由于IDS系統(tǒng)的特征數(shù)據(jù)庫過期或者這些通訊信息本身就不是攻擊或探測數(shù)據(jù)，IDS系統(tǒng)并沒有對它們進行關注，而這時你的好奇心升起，想在這些可疑數(shù)據(jù)再次經(jīng)由時發(fā)出報警，想捕捉它們、仔細看看它們到底來自何方、有何貴干，因此，唯一的辦法就是對現(xiàn)有特征數(shù)據(jù)庫進行一些定制配置或者編寫新的特征數(shù)據(jù)了。還有另外一個識別方法是：在負載中搜索“殼代碼利用”（eXPloitshellcode）的序列代碼組合。IDS入侵特征庫創(chuàng)建實例解析555影視IDS要有效地捕捉入侵行為，必須擁有一個強大的入侵特征數(shù)據(jù)庫，這就如同公安部門必須擁有健全的罪犯信息庫一樣。 通過對POP3服務器發(fā)出上千次同一命令而導致的DoS
試題試卷相關推薦
鄂ICP備17016276號-1