unit6入侵響應(yīng)與ids的部署(編輯修改稿)
2025-06-15 19:41 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 ? 與網(wǎng)絡(luò)管理系統(tǒng)聯(lián)動(dòng)，封掉被攻擊者利用的網(wǎng)絡(luò)設(shè)備和主機(jī)； ? 與操作系統(tǒng)聯(lián)動(dòng)，封掉有惡意的用戶賬號(hào)。 15 聯(lián)動(dòng)響應(yīng)舉例 ? 例 1：攻擊者 A向防火墻內(nèi)的主機(jī) B實(shí)施 TCP SYNFlooding攻擊。 A假冒一個(gè)不存在主機(jī) C的地址向 B發(fā)送SYN包， B向 C回應(yīng) SYNACK包。但由于 C并不存在，所以不會(huì)給 B發(fā)送確認(rèn)包，那么 B上的這個(gè)半連接就一直處于等待狀態(tài)。 A連續(xù)向 B發(fā)送 SYN包，由于 B的連接請(qǐng)求隊(duì)列長(zhǎng)度有限，當(dāng)這個(gè)隊(duì)列變滿后，新的連接請(qǐng)求就無(wú)法進(jìn)來(lái)，除非隊(duì)列中的半連接因超時(shí)被復(fù)位。 IDS對(duì)一段時(shí)間內(nèi)的半連接數(shù)量進(jìn)行記錄，當(dāng)單位時(shí)間內(nèi)的TCP半連接數(shù)量超過(guò)一定閾值，則向防火墻發(fā)送命令，重新設(shè)置超時(shí)時(shí)間，即將超時(shí)時(shí)間設(shè)置為更短的 t，若在時(shí)間 t內(nèi)沒(méi)有 ACK確認(rèn)包或 RST包發(fā)給 B，則防火墻向 B發(fā) RST包來(lái)復(fù)位該半連接。 16 主動(dòng)響應(yīng)存在的問(wèn)題 ? IP 地址欺騙和誤報(bào)警可能引起的錯(cuò)誤：既然入侵檢測(cè)系統(tǒng)有產(chǎn)生誤報(bào)警的問(wèn)題，我們就有可能錯(cuò)誤地針對(duì)一個(gè)從未攻擊我們的網(wǎng)絡(luò)節(jié)點(diǎn)進(jìn)行響應(yīng)。 ?如果攻擊者判定我們的系統(tǒng)有自動(dòng)響應(yīng)，他可能會(huì)利用這一點(diǎn)來(lái)針對(duì)我們。 ? 如：攻擊者可從某公司的合作伙伴 /客戶 /供應(yīng)商的地址發(fā)出虛假攻擊，使得防火墻把一個(gè)公司與另一個(gè)公司隔離開(kāi)，這樣兩者之間就有了不能逾越的隔離界限。 17 入侵響應(yīng)小結(jié) ?入侵響應(yīng)應(yīng)該與安全策略相協(xié)調(diào)。如在安全防護(hù)策略中規(guī)以定一怎樣的措施來(lái)對(duì)檢測(cè)到的入侵行為作出響應(yīng)。 ?按照措施的時(shí)間和緊急程度分為： ? 即時(shí)措施：入侵發(fā)生時(shí) ? 及時(shí)措施：入侵被完全檢測(cè)出來(lái)時(shí) ? 本地長(zhǎng)期措施：處于本地安全的長(zhǎng)期考慮 ? 全局長(zhǎng)期措施：對(duì)社會(huì)安全狀況很重要 18 IDS的部署和應(yīng)用 19 網(wǎng)絡(luò)檢測(cè)器的位置 ? 對(duì)于主機(jī)型 IDS，其數(shù)據(jù)采集部分當(dāng)然位于其所監(jiān)測(cè)的主機(jī)上。 ? 基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)需要有檢測(cè)器才能工作。如果檢測(cè)器放的位置不正
法律信息相關(guān)推薦
鄂ICP備17016276號(hào)-1