ids分析及其在linux下的實現(xiàn)-資料下載頁
2025-05-12 18:40本頁面
【導(dǎo)讀】法回避的問題呈現(xiàn)在人們面前。傳統(tǒng)上，公司一般采用防火墻作為安全的第一道。而隨著攻擊者知識的日趨成熟，攻擊工具與手法的日趨復(fù)雜多樣，單純的。種縱深的、多樣的手段。樣的復(fù)雜的設(shè)備，需要不斷升級、補漏的系統(tǒng)使得網(wǎng)絡(luò)管理員的工作不斷加重，不經(jīng)意的疏忽便有可能造成安全的重大隱患。在這種環(huán)境下，入侵檢測系統(tǒng)成為。不同的環(huán)境中發(fā)揮其關(guān)鍵作用。拒絕訪問等對計算機系統(tǒng)造成危害的行為。入侵檢測，顧名思義，便是對入侵行為的發(fā)覺。發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和被攻擊的跡象。數(shù)據(jù)進行分析，并得出有用的結(jié)果。一個合格的入侵檢測系統(tǒng)能大大的簡化管理。員的工作，保證網(wǎng)絡(luò)安全的運行。但就目前而言，入侵檢測系統(tǒng)還缺乏相應(yīng)的標(biāo)準。緩慢，尚沒有被廣泛接收的標(biāo)準出臺。闡述了一個入侵檢測系統(tǒng)的通用模型。果作出作出反應(yīng)的功能單元，它可以作出切斷連接、改變文件屬性等強烈反應(yīng)，一般來說，入侵檢測系統(tǒng)可分為主機型和網(wǎng)絡(luò)型。
【正文】 檢查 len2 的值便可，這樣可以發(fā)現(xiàn)所有的變種 （如 newtear）。 11． Jolt2 描述： jolt2是 2020 年五月份出現(xiàn)的新的利用分片進行的攻擊程序，幾乎可以造成當(dāng)前所有的 windows 平臺（ 95,98,NT,2020）死機。原理是發(fā)送許多相同的分片包，且這些包的 offset 值 (65520 bytes)與總長度 (48 bytes)之和超出了單個 IP包的長度限制（ 65536 bytes）。 檢測：組裝時檢查這種超出 IP包最長限度的情況。 以上只是舉出了一些攻擊的例子，我認為對于入侵檢測而言，可將其分為四類： IP包首部（包括 TCP、 UDP首部）即可發(fā)覺的攻擊：如 winnuke,ping of death， land,部分 OS detection， source routing 等。 IP包，但同時要檢查數(shù)據(jù)段信息才能發(fā)覺的攻擊：如利用 CGI漏洞，和大量的 BUFFER OVERFLOW攻擊。易于察覺，但最好設(shè)為選用，由用戶在性能、安全兩者之間進行折衷。 ：如掃描， syn flood,smurf 等。需要維持一個額外的狀態(tài)信息表，且因為結(jié)論是通過統(tǒng)計得來的，有誤判漏判的可能。檢測難度不是很大，但也要考慮對性 能的影響。 ：如 teadrop,nestea， jolt 等。此類攻擊利用了分片組裝算法的種種漏洞。若要檢查此類漏洞，必須提前作組裝嘗試（在 IP 層接受或轉(zhuǎn)發(fā)時，而不是在向上層發(fā)送時）。分片不光可用來進行攻擊，還可用來逃避未對分片進行組裝嘗試的 IDS 的檢測。 源程序 附在最后。 畢業(yè)設(shè)計（論文）：入侵檢測系統(tǒng)（ IDS）分析及其在 linux 下的實現(xiàn) 第 19 頁 共 2 1 頁 參考文獻 [1]《 Insertion, Evasion, and Denial of Service:Eluding Network Intrusion Detection》 Thomas H. Ptacek Timothy N. Newsham Secure Networks, Inc. January, 1998 [2]《 An Introduction to Intrusion Detectionamp。 ASSESSMENT》 ICSA, Inc. [3]《 State of the Practice of Intrusion Detection Technologies》 Julia Allen， Alan Christie， William Fithen， John McHugh， Jed Pickel ， Ed Stoner 等 January 2020 [4]《 IDS Buyer’s Guide》 ICSA lab [5]《 IDS FAQ》 Robert Graham () March 21, 2020 [6]《 Network Based Intrusion DetectionA review of technologies》 DENMAC SYSTEMS, INC NOVEMBER 1999 [7]《 Next Generation Intrusion Detection in HighSpeed Networks》 Network Associates [8]《 Intrusion Detection Message Exchange Requirements》 InterDraft Inter Engineering Task Force Wood, M. Inter Security Systems October, 1999 [9]《 Intrusion Alert Protocol IAP》 Inter Draft Inter Engineering Task Force Gupta HewlettPackard March 31, 2020 [10]《 Building Into The Linux Network Layer 》 kossak , lifeline Phrack Magazine Vol. 9 , Issue 55 , , 12 of 19 畢業(yè)設(shè)計（論文）：入侵檢測系統(tǒng)（ IDS）分析及其在 linux 下的實現(xiàn) 第 20 頁 共 2 1 頁 [11]《 Watcher》 hyperion 〈 〉 Phrack Magazine Volume 8, Issue 53 July 8, 1998, article 11 of 15 [12]《 Designing and Attacking Port Scan Detection Tools》 solar designer 〈 〉 Phrack Magazine Volume 8, Issue 53 July 8, 1998, article 13 of 15 [13]《 The Art of Port Scanning》 Fyodor 〈 〉 Phrack Magazine Volume 7, Issue 51 September 01, 1997, article 11 of 17 [14]《 Remote OS detection via TCP/IP Stack FingerPrinting》 Fyodor () October 18, 1998 [15]《 UNIX work programming》 Stevens ISBN 7302029423 [16]《 Developing linux application with GTK+ and GDK》 Eric Harlow ISBN 7505356801 [17] 《 The Common Intrusion Detection Framework Architecture》 Phil Porras, SRI Dan Schnackenberg, Boeing Stuart StanifordChen, UC Davis, editor Maureen Stillman, Oddysey Research Felix Wu, NCSU [18]《 A Common Intrusion Detection Framework》 Clifford Kahn, Phillip A. Porras ,Stuart StanifordChen ,Brian Tung 15 July 1998 waRcher的簡單說明 : 3個程序 :agent,listener和 console,下載 ,并分別用 make編譯 . ,一臺運行 agent,一臺運行 listener和 console.(其實也可以運行于 一臺 ). 畢業(yè)設(shè)計（論文）：入侵檢測系統(tǒng)（ IDS）分析及其在 linux 下的實現(xiàn) 第 21 頁 共 2 1 頁 在運行 agent的主機上 ,敲入 ./agent listener所在 IP d或者 e,例如 ./agent e(d 指 sniffer模式 ,此時將所有接受到的數(shù)據(jù)包都打倒屏幕上 ,而 e則不做這一步 ,只是入侵檢測 ).注意 ,由于采用了 packet socket,需要 root權(quán)限 (同眾多 sniffer一 樣 ).如果想定義了一組可以開放的端口 ,請在與 agent同一目錄的 明 (連接不在此文件中出現(xiàn)的端口將報警 ). 在運行 listener和 console的主機上將兩個文件放在同一目錄 ,敲入 ./listener. 這個程序收聽來自 agent的報警信息 ,并形成日志存儲 (同一目錄下的 logfile文件 ).你可以用 cat等工具察看 , 也可以運行 ./console,后者將給你一個圖形界面的觀察程序 (但現(xiàn)在還只是個空殼 ,你暫時就當(dāng)它不存在吧 ). 目前可實現(xiàn)的檢測有 : ping of death,winnuke,land,jolt2,teardrop及其變種 ,各種端口掃描 ,各種操作系統(tǒng)偵測 ,一些 cgi,asp漏洞等 .可以到去 .注意 jolt2是今年五月份公布的 ,對現(xiàn)在幾乎所有的 windows有效 ,不要玩火呦 ). 詳細情況請參照我的 論文 (寫的很 草率 ).
畢業(yè)設(shè)計相關(guān)推薦
鄂ICP備17016276號-1