978-7-03-030368-4計(jì)算機(jī)網(wǎng)絡(luò)安全(第三版)第7章計(jì)(存儲版)
【正文】 稱后門（ Backdoor）程序或者木馬（ Trojan）程序。另外，木馬一般都隨系統(tǒng)啟動而啟動，并且有進(jìn)程保護(hù)設(shè)置，所以查殺木馬非常麻煩。 26 入侵檢測 ? ? ? ? 27 （ 1） 入侵檢測的定義 ? 入侵檢測（ Intrusion Detection） —— 就是對入侵行為的發(fā)覺。目前，入侵防范研究的重點(diǎn)還是在入侵預(yù)防和入侵檢測上，入侵響應(yīng)還大都只是在 IDS系統(tǒng)中實(shí)現(xiàn)，其響應(yīng)方式和響應(yīng)能力受到一定限制。 38 (1) IP地址追蹤 ? 使用 stat命令 ：發(fā)現(xiàn)入侵者的 IP地址是很基礎(chǔ)的一項(xiàng)追蹤技術(shù)。黑客們經(jīng)?？赡茉谡搲染W(wǎng)絡(luò)社區(qū)炫耀自己的攻擊成果，借助搜索引擎，可以搜集這些信息，獲取被攻擊證據(jù)。 ? 輸入檢測方法要求被攻擊的系統(tǒng)從所有報文中描述出攻擊報文標(biāo)志。 ? 報文標(biāo)記 —— 通過將信息寫入到 IP報文頭來追蹤泛洪攻擊。 。 :39:4223:39:42January 21, 2023 ? 1意志堅(jiān)強(qiáng)的人能把世界放在手中像泥塊一樣任意揉捏。 :39:4223:39Jan2321Jan23 ? 1越是無能的人，越喜歡挑剔別人的錯兒。 2023年 1月 21日星期六 11時 39分 42秒 23:39:4221 January 2023 ? 1一個人即使已登上頂峰，也仍要自強(qiáng)不息。 , January 21, 2023 ? 閱讀一切好書如同和過去最杰出的人談話。 :39:4223:39Jan2321Jan23 ? 1世間成事，不求其絕對圓滿，留一份不足，可得無限完美。 :39:4223:39:42January 21, 2023 ? 1他鄉(xiāng)生白發(fā)，舊國見青山。該路由器向源和目的地址都轉(zhuǎn)發(fā)該特殊報文。 40 ? 入口過濾 —— 通過配置路由器來組織那些具有非法源地址的報文。捕獲原始數(shù)據(jù)報文并對數(shù)據(jù)進(jìn)行分析，是確定攻擊源的另一個比較重要的可靠方法。 ? 第一，發(fā)現(xiàn)入侵者的 IP地址、 MAC地址或是認(rèn)證的主機(jī)名。 31 ? 入侵響應(yīng)系統(tǒng)的分類 ? 1）按響應(yīng)類型分類 ? 報警型響應(yīng)系統(tǒng) ? 人工響應(yīng)系統(tǒng) ? 自動響應(yīng)系統(tǒng) ? 2）按響應(yīng)方式分類 ? 基于主機(jī)的響應(yīng) ? 基于網(wǎng)絡(luò)的響應(yīng) ? 3）按照響應(yīng)范圍分類 ? 本地響應(yīng)系統(tǒng) ? 網(wǎng)絡(luò)協(xié)同響應(yīng)系統(tǒng) 32 入侵響應(yīng)的方式 ? 入侵響應(yīng)的方式，根據(jù)嚴(yán)厲程度不同，可以分為以下幾個級別 ? 第一級別，較溫和的被動響應(yīng)方式，包括以下幾種響應(yīng)： ? 記錄安全事件 ? 產(chǎn)生報警信息 ? 記錄附加日志 ? 激活附加入侵檢測工具 ? 第二，介于溫和與嚴(yán)厲之間的主動響應(yīng)方式： ? 隔離入侵者 IP ? 禁止被攻擊對象的特定端口和服務(wù) ? 隔離被攻擊對象 ? 第三級別，較為嚴(yán)厲的主動響應(yīng)方式： ? 警告攻擊者 ? 跟蹤攻擊者 ? 斷開危險連接 ? 攻擊攻擊者 33 自動入侵響應(yīng) ? 入侵預(yù)防、入侵檢測和容忍入侵在解決網(wǎng)絡(luò)入侵問題上都發(fā)揮了很大的作用，但這些方法都是被動地解決入侵問題。通過監(jiān)視計(jì)算機(jī)上打開的非常用端口，能夠檢測出等待建立連接的木馬。 ? 隱蔽性 —— 目前不少木馬在傳播時，大多會與一些常見的軟件一起被用戶存儲到電腦中，很難被發(fā)現(xiàn)，當(dāng)用戶使用該軟件時，木馬就自動運(yùn)行了。其入侵方式與《荷馬史詩》中記載的特洛伊木馬及其類似。在堆棧中函數(shù)返回地址后面增加了附加的字節(jié)，在函數(shù)返回時，首先檢查附加的字節(jié)是否被改動過。 16 網(wǎng)絡(luò)嗅探攻擊與防范 4 ? 對于網(wǎng)絡(luò)嗅探攻擊，可以采用以下措施來實(shí)現(xiàn)防范 ? 主動檢測嗅探器 ? 網(wǎng)絡(luò)通信丟包率很高 ? 網(wǎng)絡(luò)帶寬分配反常 ? 被動隱藏數(shù)據(jù) ? 網(wǎng)絡(luò)分段 ? 加密 ? 一次性口令技術(shù) ? 禁用雜錯節(jié)點(diǎn) ? ARP或者 IPMAC映射表用靜態(tài)代替動態(tài) 17 緩沖區(qū)溢出攻擊與防范 1 ? 許多程序都是用 C語言編寫的，而 C語言不做緩沖區(qū)下屆檢查 。嗅探器對廣播型網(wǎng)絡(luò)可監(jiān)聽能力比較高。很多黑客使用嗅探器進(jìn)行網(wǎng)絡(luò)入侵。比如，可以在服務(wù)器端拒絕所有的 ICMP包，或者在該網(wǎng)段內(nèi)，對路由器上的 ICMP包進(jìn)行帶寬限制，控制其在一定范圍內(nèi)。 ? 第二，在路由器上關(guān)閉源路由使用。 8 協(xié)議欺騙類的攻擊與防范 ? ? 一般情況下，信息報從起點(diǎn)到終點(diǎn)走過的路徑是由位于此兩點(diǎn)間的路由器決定的，數(shù)據(jù)包本身只是知道從哪里出發(fā)，到達(dá)目的地是哪里，不知道也不關(guān)心沿途經(jīng)過的具體路徑。 7 ? IP地址欺騙攻擊與防范 ? 為防止源端 IP地址欺騙，可以采取以下措施來加以防范，盡可能地保護(hù)系統(tǒng)免受這類攻擊。 X為了獲得與 A、 B相同的特權(quán)，所做的欺騙攻擊如下：首先， X冒充 A向主機(jī)B發(fā)送一個帶有隨機(jī)序列號的 SYS包。 ? 第三步，利用適當(dāng)?shù)墓ぞ哌M(jìn)行掃描。 ? 第二步，建立模擬環(huán)境。 ? 假定同一網(wǎng)段內(nèi)兩臺主機(jī) A和 B，另一網(wǎng)段內(nèi)有主機(jī) X。此時， X即獲得了主機(jī) A在主機(jī) B上享有的特權(quán)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1