ddos攻防與追蹤-展示頁
2024-10-11 21:44本頁面
【正文】 REE IS ALL ! 6 加強 DDOS的強度 ? 無指紋可識別； = + random。 = SYSIdent. TTL + random(10)。 != random()。 …… FREE IS ALL ! 7 二、防御方法現(xiàn)狀 ? 數(shù)據(jù)包過濾（包括特征分析） ? 隨機丟包 ? SYNCookie, SYNCache等 ? 被動消極忽略 ? 主動發(fā)送 RST ? 其他方法（動態(tài) DNS等） ? 拔網(wǎng)線 ? FREE IS ALL ! 8 抗拒絕服務設計 ? 簡單結(jié)構(gòu)（ SynCookie） 哈 希 表 Intel 網(wǎng)卡 Net 抗拒絕服務部分 受保護部分 DMA FREE IS ALL ! 9 Syn Cookies ? Kernel/ drivers/ char/ ? Cookie: MD5(sec1,saddr,sport,daddr,dport,sec1) + their sequence number + (count * 2^24) + MD5(sec2,saddr,sport,daddr,dport,count,sec2) % 2^24) Where count increases every minute by 1. FREE IS ALL ! 10 IDS對 SYN Flood的檢測 ? 現(xiàn)在的基于 SYNs + TIME的特征； ? 真的沒有問題么？ – 正常 SYN的高流量問題 – 調(diào)整 TIME問題 ? RSTs + TIME是解決辦法么？ FREE IS ALL ! 11 路由器上的防御 ? Accesslist 訪問控制列表 accesslist 101 deny ip any ? Ratelimit 流量限制 (bps) ratelimit output 512020 56000 64000 conformaction transmit exceedaction drop ? 請參考相關(guān)資料 FREE IS ALL ! 12 路由器的 Intercept模式 ? 開啟該功能： ip tcp intercept list accesslistnumber ? Watch和 intercept（默認）模式。 如果該會話在 30秒 （ 默認 ） 內(nèi)沒有建立 ，就向服務器發(fā)送 RST清除該連接 。 FREE IS ALL ! 14 三、基礎的數(shù)據(jù)包特征分析 ? 從攻擊代碼中獲得數(shù)據(jù)包的固定值，包括 window、 sourceport、 seq或 id等，比如mstream： win= htons(16384)； teardrop：id=htons(242) ? Land攻擊的源 IP與目的 IP一樣； ? Ping of Death分片 ICMP包，重組的包大于 65535，通常為 65538； ? …… FREE IS ALL ! 15 目前的特征分析缺陷 ? 局限于對某種特定攻擊或者工具； ? 太依賴于攻擊程序中的固定值； ? 對于隨機數(shù)則無法特征化； ? 無法普遍標識攻擊流； FREE IS ALL ! 16 ? 基于統(tǒng)計的特征分析 ? StatisticBased Fingerprint Identification ? Inside XFocus’s DDOS Research Project ? 用某種 Hash標志數(shù)據(jù)包 。 在攻擊發(fā)起的一段時間內(nèi) ， 再次統(tǒng)計得到一個新的流量特征 B ? 從分布
教學課件相關(guān)推薦
鄂ICP備17016276號-1