程序代碼檢測系統(tǒng)用戶手冊(編輯修改稿)
2024-08-24 04:29 本頁面
【文章內(nèi)容簡介】 常主機(jī)掃描者不會針對一個應(yīng)用端口持續(xù)很長時間反復(fù)掃描。一般情況下，針對SMTP端口的SYNflood攻擊才有可能持續(xù)觸發(fā)我們定制的掃描警報，然而這種SYNflood攻擊往往會在“TCP分析”趨勢圖上看到明顯的TCP同步包數(shù)量增加，而從上圖的“TCP分析”趨勢圖上卻看不到這一現(xiàn)象。為了進(jìn)一步分析判斷這一事件的原因，我們使用系統(tǒng)的應(yīng)用統(tǒng)計分析功能，對這一時段的SMTP會話進(jìn)行了統(tǒng)計分析。從上圖中的流量趨勢圖上明顯看到SMTP流量在警報發(fā)生的時段內(nèi)有明顯增加，最大流量超過150Kbps；在TCP會話視圖中，我們看到一個內(nèi)網(wǎng)IP在短時間內(nèi)與若干個外網(wǎng)IP的TCP25端口建立了很TCP會話，這些會話并不像掃描行為那樣只有很少量的數(shù)據(jù)包，而是每個會話有幾個到幾十個不等（截圖中碰巧都是11個數(shù)據(jù)包）。至此基本排除了這些警報是掃描行為的可能性，但可以判斷這些TCP會話不是正常的郵件發(fā)送，因為正常的郵件發(fā)送不會產(chǎn)生如此多的會話，而且正常郵件發(fā)送的平均數(shù)據(jù)包長度不會小于72字節(jié)。要了解些異常會話的真正作用，就需要對這些會話進(jìn)行數(shù)據(jù)包級解碼分析，于是我們將這一時段的SMTP應(yīng)用的數(shù)據(jù)包下載到控制臺，利用控制臺自帶的科來網(wǎng)絡(luò)分析模塊進(jìn)行解碼分析。，21CN的郵件服務(wù)器拒絕了這次郵件發(fā)送。繼續(xù)查看其他與21CN的TCP會話，發(fā)現(xiàn)每個會話的發(fā)件人都是“tyco110@”，收件人郵箱地址在不斷變化，每個會話
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1