ids分析及其在linux下的實(shí)現(xiàn)-資料下載頁(yè)
2025-05-12 18:40本頁(yè)面
【導(dǎo)讀】法回避的問(wèn)題呈現(xiàn)在人們面前。傳統(tǒng)上，公司一般采用防火墻作為安全的第一道。而隨著攻擊者知識(shí)的日趨成熟，攻擊工具與手法的日趨復(fù)雜多樣，單純的。種縱深的、多樣的手段。樣的復(fù)雜的設(shè)備，需要不斷升級(jí)、補(bǔ)漏的系統(tǒng)使得網(wǎng)絡(luò)管理員的工作不斷加重，不經(jīng)意的疏忽便有可能造成安全的重大隱患。在這種環(huán)境下，入侵檢測(cè)系統(tǒng)成為。不同的環(huán)境中發(fā)揮其關(guān)鍵作用。拒絕訪問(wèn)等對(duì)計(jì)算機(jī)系統(tǒng)造成危害的行為。入侵檢測(cè)，顧名思義，便是對(duì)入侵行為的發(fā)覺(jué)。發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和被攻擊的跡象。數(shù)據(jù)進(jìn)行分析，并得出有用的結(jié)果。一個(gè)合格的入侵檢測(cè)系統(tǒng)能大大的簡(jiǎn)化管理。員的工作，保證網(wǎng)絡(luò)安全的運(yùn)行。但就目前而言，入侵檢測(cè)系統(tǒng)還缺乏相應(yīng)的標(biāo)準(zhǔn)。緩慢，尚沒(méi)有被廣泛接收的標(biāo)準(zhǔn)出臺(tái)。闡述了一個(gè)入侵檢測(cè)系統(tǒng)的通用模型。果作出作出反應(yīng)的功能單元，它可以作出切斷連接、改變文件屬性等強(qiáng)烈反應(yīng)，一般來(lái)說(shuō)，入侵檢測(cè)系統(tǒng)可分為主機(jī)型和網(wǎng)絡(luò)型。
【正文】 檢查 len2 的值便可，這樣可以發(fā)現(xiàn)所有的變種 （如 newtear）。 11． Jolt2 描述： jolt2是 2020 年五月份出現(xiàn)的新的利用分片進(jìn)行的攻擊程序，幾乎可以造成當(dāng)前所有的 windows 平臺(tái)（ 95,98,NT,2020）死機(jī)。原理是發(fā)送許多相同的分片包，且這些包的 offset 值 (65520 bytes)與總長(zhǎng)度 (48 bytes)之和超出了單個(gè) IP包的長(zhǎng)度限制（ 65536 bytes）。 檢測(cè)：組裝時(shí)檢查這種超出 IP包最長(zhǎng)限度的情況。 以上只是舉出了一些攻擊的例子，我認(rèn)為對(duì)于入侵檢測(cè)而言，可將其分為四類： IP包首部（包括 TCP、 UDP首部）即可發(fā)覺(jué)的攻擊：如 winnuke,ping of death， land,部分 OS detection， source routing 等。 IP包，但同時(shí)要檢查數(shù)據(jù)段信息才能發(fā)覺(jué)的攻擊：如利用 CGI漏洞，和大量的 BUFFER OVERFLOW攻擊。易于察覺(jué)，但最好設(shè)為選用，由用戶在性能、安全兩者之間進(jìn)行折衷。 ：如掃描， syn flood,smurf 等。需要維持一個(gè)額外的狀態(tài)信息表，且因?yàn)榻Y(jié)論是通過(guò)統(tǒng)計(jì)得來(lái)的，有誤判漏判的可能。檢測(cè)難度不是很大，但也要考慮對(duì)性 能的影響。 ：如 teadrop,nestea， jolt 等。此類攻擊利用了分片組裝算法的種種漏洞。若要檢查此類漏洞，必須提前作組裝嘗試（在 IP 層接受或轉(zhuǎn)發(fā)時(shí)，而不是在向上層發(fā)送時(shí)）。分片不光可用來(lái)進(jìn)行攻擊，還可用來(lái)逃避未對(duì)分片進(jìn)行組裝嘗試的 IDS 的檢測(cè)。 源程序 附在最后。 畢業(yè)設(shè)計(jì)（論文）：入侵檢測(cè)系統(tǒng)（ IDS）分析及其在 linux 下的實(shí)現(xiàn) 第 19 頁(yè) 共 2 1 頁(yè) 參考文獻(xiàn) [1]《 Insertion, Evasion, and Denial of Service:Eluding Network Intrusion Detection》 Thomas H. Ptacek Timothy N. Newsham Secure Networks, Inc. January, 1998 [2]《 An Introduction to Intrusion Detectionamp。 ASSESSMENT》 ICSA, Inc. [3]《 State of the Practice of Intrusion Detection Technologies》 Julia Allen， Alan Christie， William Fithen， John McHugh， Jed Pickel ， Ed Stoner 等 January 2020 [4]《 IDS Buyer’s Guide》 ICSA lab [5]《 IDS FAQ》 Robert Graham () March 21, 2020 [6]《 Network Based Intrusion DetectionA review of technologies》 DENMAC SYSTEMS, INC NOVEMBER 1999 [7]《 Next Generation Intrusion Detection in HighSpeed Networks》 Network Associates [8]《 Intrusion Detection Message Exchange Requirements》 InterDraft Inter Engineering Task Force Wood, M. Inter Security Systems October, 1999 [9]《 Intrusion Alert Protocol IAP》 Inter Draft Inter Engineering Task Force Gupta HewlettPackard March 31, 2020 [10]《 Building Into The Linux Network Layer 》 kossak , lifeline Phrack Magazine Vol. 9 , Issue 55 , , 12 of 19 畢業(yè)設(shè)計(jì)（論文）：入侵檢測(cè)系統(tǒng)（ IDS）分析及其在 linux 下的實(shí)現(xiàn) 第 20 頁(yè) 共 2 1 頁(yè) [11]《 Watcher》 hyperion 〈 〉 Phrack Magazine Volume 8, Issue 53 July 8, 1998, article 11 of 15 [12]《 Designing and Attacking Port Scan Detection Tools》 solar designer 〈 〉 Phrack Magazine Volume 8, Issue 53 July 8, 1998, article 13 of 15 [13]《 The Art of Port Scanning》 Fyodor 〈 〉 Phrack Magazine Volume 7, Issue 51 September 01, 1997, article 11 of 17 [14]《 Remote OS detection via TCP/IP Stack FingerPrinting》 Fyodor () October 18, 1998 [15]《 UNIX work programming》 Stevens ISBN 7302029423 [16]《 Developing linux application with GTK+ and GDK》 Eric Harlow ISBN 7505356801 [17] 《 The Common Intrusion Detection Framework Architecture》 Phil Porras, SRI Dan Schnackenberg, Boeing Stuart StanifordChen, UC Davis, editor Maureen Stillman, Oddysey Research Felix Wu, NCSU [18]《 A Common Intrusion Detection Framework》 Clifford Kahn, Phillip A. Porras ,Stuart StanifordChen ,Brian Tung 15 July 1998 waRcher的簡(jiǎn)單說(shuō)明 : 3個(gè)程序 :agent,listener和 console,下載 ,并分別用 make編譯 . ,一臺(tái)運(yùn)行 agent,一臺(tái)運(yùn)行 listener和 console.(其實(shí)也可以運(yùn)行于 一臺(tái) ). 畢業(yè)設(shè)計(jì)（論文）：入侵檢測(cè)系統(tǒng)（ IDS）分析及其在 linux 下的實(shí)現(xiàn) 第 21 頁(yè) 共 2 1 頁(yè) 在運(yùn)行 agent的主機(jī)上 ,敲入 ./agent listener所在 IP d或者 e,例如 ./agent e(d 指 sniffer模式 ,此時(shí)將所有接受到的數(shù)據(jù)包都打倒屏幕上 ,而 e則不做這一步 ,只是入侵檢測(cè) ).注意 ,由于采用了 packet socket,需要 root權(quán)限 (同眾多 sniffer一 樣 ).如果想定義了一組可以開放的端口 ,請(qǐng)?jiān)谂c agent同一目錄的 明 (連接不在此文件中出現(xiàn)的端口將報(bào)警 ). 在運(yùn)行 listener和 console的主機(jī)上將兩個(gè)文件放在同一目錄 ,敲入 ./listener. 這個(gè)程序收聽(tīng)來(lái)自 agent的報(bào)警信息 ,并形成日志存儲(chǔ) (同一目錄下的 logfile文件 ).你可以用 cat等工具察看 , 也可以運(yùn)行 ./console,后者將給你一個(gè)圖形界面的觀察程序 (但現(xiàn)在還只是個(gè)空殼 ,你暫時(shí)就當(dāng)它不存在吧 ). 目前可實(shí)現(xiàn)的檢測(cè)有 : ping of death,winnuke,land,jolt2,teardrop及其變種 ,各種端口掃描 ,各種操作系統(tǒng)偵測(cè) ,一些 cgi,asp漏洞等 .可以到去 .注意 jolt2是今年五月份公布的 ,對(duì)現(xiàn)在幾乎所有的 windows有效 ,不要玩火呦 ). 詳細(xì)情況請(qǐng)參照我的 論文 (寫的很 草率 ).
畢業(yè)設(shè)計(jì)相關(guān)推薦
鄂ICP備17016276號(hào)-1