ids分析及其在linux下的實現(xiàn)(參考版)
2025-05-17 18:40本頁面
【正文】 ASSESSMENT》 ICSA, Inc. [3]《 State of the Practice of Intrusion Detection Technologies》 Julia Allen， Alan Christie， William Fithen， John McHugh， Jed Pickel ， Ed Stoner 等 January 2020 [4]《 IDS Buyer’s Guide》 ICSA lab [5]《 IDS FAQ》 Robert Graham () March 21, 2020 [6]《 Network Based Intrusion DetectionA review of technologies》 DENMAC SYSTEMS, INC NOVEMBER 1999 [7]《 Next Generation Intrusion Detection in HighSpeed Networks》 Network Associates [8]《 Intrusion Detection Message Exchange Requirements》 InterDraft Inter Engineering Task Force Wood, M. Inter Security Systems October, 1999 [9]《 Intrusion Alert Protocol IAP》 Inter Draft Inter Engineering Task Force Gupta HewlettPackard March 31, 2020 [10]《 Building Into The Linux Network Layer 》 kossak , lifeline Phrack Magazine Vol. 9 , Issue 55 , , 12 of 19 畢業(yè)設(shè)計（論文）：入侵檢測系統(tǒng)（ IDS）分析及其在 linux 下的實現(xiàn) 第 20 頁 共 2 1 頁 [11]《 Watcher》 hyperion 〈 〉 Phrack Magazine Volume 8, Issue 53 July 8, 1998, article 11 of 15 [12]《 Designing and Attacking Port Scan Detection Tools》 solar designer 〈 〉 Phrack Magazine Volume 8, Issue 53 July 8, 1998, article 13 of 15 [13]《 The Art of Port Scanning》 Fyodor 〈 〉 Phrack Magazine Volume 7, Issue 51 September 01, 1997, article 11 of 17 [14]《 Remote OS detection via TCP/IP Stack FingerPrinting》 Fyodor () October 18, 1998 [15]《 UNIX work programming》 Stevens ISBN 7302029423 [16]《 Developing linux application with GTK+ and GDK》 Eric Harlow ISBN 7505356801 [17] 《 The Common Intrusion Detection Framework Architecture》 Phil Porras, SRI Dan Schnackenberg, Boeing Stuart StanifordChen, UC Davis, editor Maureen Stillman, Oddysey Research Felix Wu, NCSU [18]《 A Common Intrusion Detection Framework》 Clifford Kahn, Phillip A. Porras ,Stuart StanifordChen ,Brian Tung 15 July 1998 waRcher的簡單說明 : 3個程序 :agent,listener和 console,下載 ,并分別用 make編譯 . ,一臺運行 agent,一臺運行 listener和 console.(其實也可以運行于 一臺 ). 畢業(yè)設(shè)計（論文）：入侵檢測系統(tǒng)（ IDS）分析及其在 linux 下的實現(xiàn) 第 21 頁 共 2 1 頁 在運行 agent的主機上 ,敲入 ./agent listener所在 IP d或者 e,例如 ./agent e(d 指 sniffer模式 ,此時將所有接受到的數(shù)據(jù)包都打倒屏幕上 ,而 e則不做這一步 ,只是入侵檢測 ).注意 ,由于采用了 packet socket,需要 root權(quán)限 (同眾多 sniffer一 樣 ).如果想定義了一組可以開放的端口 ,請在與 agent同一目錄的 明 (連接不在此文件中出現(xiàn)的端口將報警 ). 在運行 listener和 console的主機上將兩個文件放在同一目錄 ,敲入 ./listener. 這個程序收聽來自 agent的報警信息 ,并形成日志存儲 (同一目錄下的 logfile文件 ).你可以用 cat等工具察看 , 也可以運行 ./console,后者將給你一個圖形界面的觀察程序 (但現(xiàn)在還只是個空殼 ,你暫時就當(dāng)它不存在吧 ). 目前可實現(xiàn)的檢測有 : ping of death,winnuke,land,jolt2,teardrop及其變種 ,各種端口掃描 ,各種操作系統(tǒng)偵測 ,一些 cgi,asp漏洞等 .可以到去 .注意 jolt2是今年五月份公布的 ,對現(xiàn)在幾乎所有的 windows有效 ,不要玩火呦 ). 詳細情況請參照我的 論文 (寫的很 草率 ). 。 源程序 附在最后。若要檢查此類漏洞，必須提前作組裝嘗試（在 IP 層接受或轉(zhuǎn)發(fā)時，而不是在向上層發(fā)送時）。 ：如 teadrop,nestea， jolt 等。需要維持一個額外的狀態(tài)信息表，且因為結(jié)論是通過統(tǒng)計得來的，有誤判漏判的可能。易于察覺，但最好設(shè)為選用，由用戶在性能、安全兩者之間進行折衷。 以上只是舉出了一些攻擊的例子，我認(rèn)為對于入侵檢測而言，可將其分為四類： IP包首部（包括 TCP、 UDP首部）即可發(fā)覺的攻擊：如 winnuke,ping of death， land,部分 OS detection， source routing 等。原理是發(fā)送許多相同的分片包，且這些包的 offset 值 (65520 bytes)與總長度 (48 bytes)之和超出了單個 IP包的長度限制（ 65536 bytes）。 檢測：組裝時檢查 len2 的值便可，這樣可以發(fā)現(xiàn)所有的變種 （如 newtear）。如下圖： 畢業(yè)設(shè)計（論文）：入侵檢測系統(tǒng)（ IDS）分析及其在 linux 下的實現(xiàn) 第 18 頁 共 2 1 頁 在 linux( 內(nèi)核 )中有以下處理 :當(dāng)發(fā)現(xiàn)有位置重合時（ offset2end1） ,將offset 向后調(diào)到 end1（ offset2=end1） , 然后更改 len2 的值： len2=end2offset2。 10． Teardrop(CERT ) 描述：許多系統(tǒng)在處理分片組裝時存在漏洞，發(fā)送異常的分片包會使系統(tǒng)運行 異常， teardrop 便是一個經(jīng)典的利用這個漏洞的攻擊程序。 畢業(yè)設(shè)計（論文）：入侵檢測系統(tǒng)（ IDS）分析及其在 linux 下的實現(xiàn) 第 17 頁 共 2 1 頁 檢測：如果在網(wǎng)絡(luò)內(nèi)檢測到目標(biāo)地址為廣播地址的 icmp 包。 檢測：如果某一地址短時間內(nèi)發(fā)出大量的建立連接的請求且請求失敗，則證明此IP被用來做 Syn flood 攻擊。攻擊者可假冒服務(wù)器端無法連接的地址向其發(fā)出 SYN，服務(wù)器向這個假的 IP 發(fā)回 SYN/ACK，但由于沒有 ACK 發(fā)回來，服務(wù)器只能等TIMEOUT。 flood (CERT ) 描述： TCP 連接的建立需三次握手，客戶首先發(fā) SYN 信息，服務(wù)器發(fā)回 SYN/A
畢業(yè)設(shè)計相關(guān)推薦
鄂ICP備17016276號-1