經(jīng)典的網(wǎng)絡(luò)安全技術(shù)基礎(chǔ)(編輯修改稿)
2025-02-12 16:55 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 6. 基于應(yīng)用層協(xié)議的狀態(tài)跟蹤。 7. 可信報(bào)文處理。 報(bào)文處理方式 集成多種檢測(cè)方法 最難搞定的 威脅： Zeroday攻擊 Zeroday（零日？零時(shí)差？）攻擊 ? 對(duì)尚未公開(kāi)的漏洞進(jìn)行攻擊。 有專(zhuān)門(mén)的交易渠道，誰(shuí)都搞不定，只能?chē)?yán)防死守。 ? 漏洞已公布，但是尚未發(fā)布補(bǔ)丁。 這是我們搞得定的！ 社會(huì)工程 社會(huì)工程就是黑客們利用人與人之間的交往，取得被害人的信任，然后就是想干嘛干嘛了。社會(huì)工程是一種非技術(shù)手段的黑客行為，利用了網(wǎng)絡(luò)安全體系中最沒(méi)有辦法控制、沒(méi)有辦法打補(bǔ)丁的一個(gè)因素 ——人。 ……。這方面的詳細(xì)信息，建議大家看美國(guó)著名黑客 Kevin Mitnick的著作 《 The Art of Deception》 ，網(wǎng)上有下載，文筆很好，可以當(dāng)小說(shuō)看，還可以順便練習(xí)一下E文。 ——摘自非著名 ID“ ZeroFlag”唯一一篇被廣為轉(zhuǎn)載文章 《 firewall——一次差點(diǎn)成功的暴力社會(huì)工程 》 網(wǎng)絡(luò)釣魚(yú)行為舉例 目錄 ? 基礎(chǔ)知識(shí)和基本技術(shù) ? 防火墻技術(shù)和應(yīng)用 ? 應(yīng)用層攻擊和防范 ? 拒絕服務(wù)攻擊和防范 ? 病毒與反病毒技術(shù) ? 反垃圾郵件專(zhuān)題 ? 安全審計(jì)技術(shù)專(zhuān)題 ? 網(wǎng)閘技術(shù)專(zhuān)題 拒絕服務(wù)綜述 ? DoS(Denial of Service，拒絕服務(wù) )，造成 DoS的攻擊行為被稱(chēng)為 DoS攻擊，其目的是使計(jì)算機(jī)或網(wǎng)絡(luò)無(wú)法提供正常的服務(wù)。 ? DDoS (Distributed Denial of Service，分布式拒絕服務(wù) )攻擊指借助于客戶 /服務(wù)器技術(shù)，將多個(gè)計(jì)算機(jī)聯(lián)合起來(lái)作為攻擊平臺(tái)，對(duì)一個(gè)或者多個(gè)目標(biāo)發(fā)動(dòng) DoS攻擊，從而成倍地提高拒絕服務(wù)攻擊的威力。 ?按消耗的資源目標(biāo)分： ? 帶寬耗盡型 DDoS： 以多欺少的泛洪（ Flood）攻擊，將目標(biāo)機(jī)的出口帶寬資源耗盡，造成拒絕服務(wù)；攻擊流量里的單個(gè)報(bào)文沒(méi)有任何特征可言，流量大，通常有龐大的僵尸網(wǎng)絡(luò)做支撐，如 UDP Flood、 ICMP Flood等。 ? 資源耗盡型 DDoS： 通過(guò)向目標(biāo)機(jī)提交一定數(shù)量的需要目標(biāo)機(jī)大量消耗資源的請(qǐng)求實(shí)現(xiàn)，請(qǐng)求流量并不需要非常大，即可消耗目標(biāo)機(jī)的計(jì)算資源，造成拒絕服務(wù)，如 SYN Flood、 CC攻擊等 。 ?按網(wǎng)絡(luò)層次分： ? 網(wǎng)絡(luò)層 DDoS： 通過(guò)發(fā)送網(wǎng)絡(luò)層的泛洪報(bào)文實(shí)現(xiàn)，如 UDP Flood、ICMP Flood、 SYN Flood、 RST Flood、 Connection Flood等。 ? 應(yīng)用層 DDoS： 通過(guò)發(fā)送應(yīng)用層的泛洪報(bào)文實(shí)現(xiàn)，如 HTTP Get Flood、DNS Query Flood、 CC攻擊等 。 拒絕服務(wù)攻擊分類(lèi) Syn Flood攻擊與防范 Syn Syn＋ ACK ACK 正常 TCP三次握手完成連接 通過(guò)半連接耗盡正常服務(wù)資源 Syn? Syn? Syn? Syn＋ ACK Syn＋ ACK Syn＋ ACK ? 發(fā)送 帶有偽造源 IP地址的 SYN包，造成大量半連接耗盡服務(wù)器資源。 ? 特點(diǎn)： 生命周期長(zhǎng)，無(wú)法 通過(guò)打補(bǔ)丁 ，升級(jí)軟件等方式解決 ? 防范： 通過(guò) TCP Proxy、 TCP Cookie Connection Flood 攻擊 正常 tcp connect 攻擊者 受害者 大量的 tcp connect 這么多需要處理？ 不能建立正常的連接 正常 tcp connect 正常 tcp connect 正常 tcp connect 正常 tcp connect 正常用戶 正常 tcp connect ? 利用真實(shí) IP 地址 （ 代理服務(wù)器 、 廣告頁(yè)面 ） 在服務(wù)器上建立大量連接 。 ? 服務(wù)器上殘余連接 (WAIT 狀態(tài) )過(guò)多 ， 效率降低 ，甚至資源耗盡 ， 無(wú)法響應(yīng) 。 ? 蠕蟲(chóng)傳播過(guò)程中會(huì)出現(xiàn)大量源 IP 地址相同的包 ，對(duì)于 TCP 蠕蟲(chóng)則表現(xiàn)為大范圍掃描行為 。 ? 消耗骨干設(shè)備的資源 ， 如防火墻的連接數(shù) 。 ? 發(fā)送大量的 ACK 包沖擊設(shè)備。 ? 服務(wù)器回應(yīng) ACK/RST 包，消耗資源。 ? 某些應(yīng)用如 JSP Server 對(duì) ACK Flood 比較敏感。 ? 一般來(lái)講 ACK Flood 流量要較大才會(huì)對(duì)服務(wù)器造成影響。 ACK Flood 攻擊 ? UDP 協(xié)議無(wú)狀態(tài)，應(yīng)用五花八門(mén)。 ? 利用小報(bào)文沖擊應(yīng)用服務(wù)器：Radius 服務(wù)器、 DNS 服務(wù)器、流媒體服務(wù)器。 ? 針對(duì)不同應(yīng)用協(xié)議攻擊需要制定不同的應(yīng)對(duì)策略。 ? 尚未有類(lèi)似的產(chǎn)品能夠防護(hù) UDP/UDP DNS Query Flood。 UDP Flood 攻擊 ? 危害性和 DNS 服務(wù)器的脆弱性 – 字符串匹配查找是 DNS 服務(wù)器的主要負(fù)載 。 – 微軟的統(tǒng)計(jì)數(shù)據(jù)，一臺(tái) DNS 服務(wù)器所能承受的遞歸動(dòng)態(tài)域名查詢的上限是每秒鐘 9000個(gè)請(qǐng)求 。 – 一臺(tái) P3的主機(jī)可以很輕易地發(fā)出每秒上萬(wàn)個(gè)請(qǐng)求 。 ? 攻擊的手段 – 只針對(duì) 53端口發(fā) NULL 數(shù)據(jù)包，危害性不大 。 – 請(qǐng)求解析固定的域名，由于有 cache 存在，需要較大數(shù)量 。 – 隨機(jī)生成域名使得服務(wù)器必須使用遞歸查詢向上層服務(wù)器發(fā)出解析請(qǐng)求，引起連鎖反應(yīng) 。 – 蠕蟲(chóng)擴(kuò)散帶來(lái)的大量域名解析請(qǐng)求 。 UDP DNS Query Flood 攻擊 其他常見(jiàn)拒絕服務(wù)攻擊 ? TFN(Tribe Flood Network) ? 德國(guó)著名黑客 Mixter編寫(xiě)的分布式拒絕服務(wù)攻擊工具 ? TFN由主控端程序和代理端組成 ? 攻擊者到主控端 ——TCP綁定 ? 主控端到代理端 ——ICMP_ECHOREPLY ? 代理端對(duì)目標(biāo)機(jī) ——SYN Flood、 ICMP Flood、 UDP Flood、 Smurf 攻擊 ? 免費(fèi)的 DDoS攻擊工具，還包括 Trinoo、TFN2k、 Stacheldraht等，使得 DDoS攻擊技術(shù)門(mén)檻降低更加普及，對(duì)網(wǎng)絡(luò)造成嚴(yán)重威脅 Mixter ID字段包含命令 DDoS典型攻擊工具 允許有效 請(qǐng)求通過(guò) 服務(wù)器 攻擊者 代理 主控端 主控端 代理 代理 代理 代理 代理 ? 通過(guò) Syn Cookie機(jī)制防范 Syn Flood攻擊。 ? 通過(guò)限制單個(gè)源地址的每秒連接數(shù)來(lái)防范 CPS Flood、 Connection Flood攻擊。 ? 通過(guò)流量閾值模型、反向認(rèn)證等方式來(lái)防范 UDP Flood、 ICMP Flood、HTTP Get Flood、 DNS Flood等 DDoS攻擊。 ? 內(nèi)臵的攻擊特征規(guī)則可檢測(cè)常見(jiàn) DDoS攻擊工具 TFN、 TFN2k、 Stacheldraht 、 Trinoo的控制報(bào)文，可切斷 DDoS攻擊工具的控制通道。 一般 DDoS攻擊防范技術(shù) CC攻擊與防御 ?攻擊方法： ? 利用代理服務(wù)器發(fā)起大量的 HTTP Get 請(qǐng)求。 ? 主要是請(qǐng)求動(dòng)態(tài)頁(yè)面，造成數(shù)據(jù)庫(kù)服務(wù)器負(fù)載極高，無(wú)法正常響應(yīng)。 ?防御方法： ? 進(jìn)行域名重定向。 ? 通過(guò)代理發(fā)送的 HTTP_X_FORWARDED_FOR變量來(lái)判斷使用代理攻擊機(jī)器的真實(shí) IP，但不是所有的代理服務(wù)器都發(fā)送。 ? 在服務(wù)器上，從 Cookie與 IP的綁定和用戶 Session。
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1