ids入侵特征庫創(chuàng)建實(shí)例解析-資料下載頁
2025-01-18 04:06本頁面
【正文】 認(rèn)標(biāo)志，但是確認(rèn)數(shù)值卻非0的TCP數(shù)據(jù)包?！ ≈辉O(shè)置了SYN和FIN標(biāo)志的TCP數(shù)據(jù)包。 初始TCP窗口尺寸低于一定數(shù)值的TCP數(shù)據(jù)包?！ ∈褂靡陨系耐ㄓ锰卣鳎厦嫣岬竭^的兩種異常數(shù)據(jù)包都可以有效地識別出來。看來，網(wǎng)大好撈魚啊?！ ‘?dāng)然，如果需要更加詳細(xì)地探測，再在這些通用特征的基礎(chǔ)上添加一些個(gè)性數(shù)據(jù)就可以創(chuàng)建出一個(gè)特殊特征來。還是那個(gè)觀點(diǎn)，創(chuàng)建什么樣的特征、創(chuàng)建哪些特征，取決于實(shí)際需求，實(shí)踐是檢測創(chuàng)建何種特征的唯一標(biāo)準(zhǔn)嗎！ 七、報(bào)頭值關(guān)鍵元素小結(jié)，信息包種類檢查分析 從上面討論的例子中，我們看到了可用于創(chuàng)建IDS特征的多種報(bào)頭值信息。通常，最有可能用于生成報(bào)頭相關(guān)特征的元素為以下幾種： IP地址，特別保留地址、非路由地址、廣播地址?！ 〔粦?yīng)被使用的端口號，特別是眾所周知的協(xié)議端口號和木馬端口號?！ ‘惓Ｐ畔瑪??！ √厥釺CP標(biāo)志組合值?！ 〔粦?yīng)該經(jīng)常出現(xiàn)的ICMP字節(jié)或代碼?！ ≈懒巳绾问褂没趫?bào)頭的特征數(shù)據(jù)，接下來要確定的是檢查何種信息包。確定的標(biāo)準(zhǔn)依然是根據(jù)實(shí)際需求而定。因?yàn)镮CMP和UDP信息包是無狀態(tài)的，所以大多數(shù)情況下，需要對它們的每一個(gè)“屬下”都進(jìn)行檢查。而TCP信息包是有連接狀態(tài)的，因此有時(shí)候可以只檢查連接中的第一個(gè)信息包。例如，象IP地址和端口這樣的特征將在連接的所有數(shù)據(jù)包中保持不變，只對它們檢查一次就可放心。其他特征如TCP標(biāo)志會在對話過程的不同數(shù)據(jù)包中有所不同，如果要查找特殊的標(biāo)志組合值，就需要對每一個(gè)數(shù)據(jù)包進(jìn)行檢查。檢查的數(shù)量越多，消耗的資源和時(shí)間也就越多?！ ×硗馕覀冞€要了解一點(diǎn)：關(guān)注TCP、UDP或者ICMP的報(bào)頭信息要比關(guān)注DNS報(bào)頭信息更方便。因?yàn)門CP、UDP以及ICMP都屬于IP協(xié)議，它們的報(bào)頭信息和載荷信息都位于IP數(shù)據(jù)包的payload部分，比如要獲取TCP報(bào)頭數(shù)值，首先解析IP報(bào)頭，然后就可以判斷出這個(gè)載荷的“父親”是TCP。而象DNS這樣的協(xié)議，它又包含在UDP和TCP數(shù)據(jù)包的載荷中，如果要獲取DNS的信息，就必須深入2層才能看到真面目。而且，解析此類協(xié)議還需要更多更復(fù)雜的編程代碼，完全不如TCP等簡單。實(shí)際上，這個(gè)解析操作也正是區(qū)分不同協(xié)議的關(guān)鍵所在，評價(jià)IDS系統(tǒng)的好壞也體現(xiàn)在是否能夠很好地分析更多的協(xié)議?！ “?、結(jié)語 本文對如何定制IDS的關(guān)鍵部件特征數(shù)據(jù)庫做了詳細(xì)地介紹，相信你已經(jīng)對此有了進(jìn)一步的認(rèn)識。入侵者總是狡猾多變的，我們不能讓手中的鋼刀有刃無光，要經(jīng)常地磨礪它、改裝它，才可能以萬變應(yīng)萬變，讓入侵者膽戰(zhàn)心驚！
試題試卷相關(guān)推薦
鄂ICP備17016276號-1