speakerhom-jayhomdate20xx0513(編輯修改稿)
2024-11-29 17:09 本頁面
【文章內(nèi)容簡介】 ntrollers Bot controller DNS query check 當 botmaster想檢查某 DNS server是否被劫持， IP是否被從新導(dǎo)向其他地方時： botmaster可透過某 bot不斷去查詢此 DNS的 IP 再對照其他 DNS IP list 既可得知此 server是否已經(jīng)被劫持。 2020/11/29 12 Bot controller mand channel check 上述 DNS查詢檢查是一種有效的方法來檢測 DNS的定向，但如果偵測人員隱身監(jiān)測，實際捕捉和監(jiān)控在這種情況下， DNS查詢檢查將為無效。 要偵測此類型的方法可利用先前所介紹的方式來測試，既是用指令去測試此 bot controller是否被監(jiān)控。 例如發(fā)動 1000臺 bot做 DDoS攻擊 (但目標是錯誤的 )此時受監(jiān)控的 controller必定不敢妄動發(fā)送命令給 bot。 或進行極少用到的指令 (既使指令為無害的 ) 2020/11/29 13 Discussions 因 honeypot的檢測程序使感染的電腦造成延遲但這並不影響 bot本身，因為大多 bot將作為長期的攻擊工具。 因此，它不是 botmasters重要的考慮問題。 當部署一個偵測 honeypot的 sensor bot時通常只要求發(fā)送其一（如垃圾郵件，病毒代碼的副本）到 sensor以防止流量被發(fā)現(xiàn)或阻塞。 當連續(xù)使用的 DNS查詢，以測試 controller是否被劫持，這些 DNS查詢請求可能被判定為異常的 DNS查詢行為。所以為防止這類事件： （ 1）減慢查詢的次數(shù)。（ 2）使用多個 sensor進行查詢。 （ 3）發(fā)送 DNS查詢到許多網(wǎng)路上的 DNS server。 2020/11/29 14 Experiment work system introduction 使用標準的 GenII honey： 實驗封閉對外連線，且模仿 bot感染途徑，非使用真的 bot 2020/11/29 15 IP Tables + Snort_inline Honeypot detection—IPTables IPTables on the honeywall log： 2020/11/29 16 Honeypot被感染 開始 對外連線 bot controller 通信狀態(tài) TCP 6 已達 IPTable門檻 Honeypot detection—Snort inline Snort_inline是用來偵測對外流量，及制定規(guī)則 使用 Code Red II 並將
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1