黑客攻擊與入侵檢測講義-在線瀏覽
2025-03-10 23:56本頁面
【正文】 d攻擊是典型的拒絕服務(wù)攻擊。正常情況下，一次標(biāo)準(zhǔn)的 TCP連接，會(huì)有一個(gè)三次握手的情況。 12 拒絕服務(wù)類的攻擊與防范 2 ? 為防范拒絕服務(wù)攻擊 ,可采用如下措施 ： ? 第一，對于信息淹沒攻擊，采取措施是關(guān)掉可能產(chǎn)生無限序列的服務(wù)。 ? 第二，防止 SYN數(shù)據(jù)段攻擊。 ? 第三，調(diào)整該網(wǎng)段的路由器配置。 ? 第四，在路由器前端進(jìn)行 TCP攔截。 13 網(wǎng)絡(luò)嗅探攻擊與防范 1 ? 網(wǎng)絡(luò)嗅探對于一般的網(wǎng)絡(luò)來說，操作極其簡單但威脅卻是巨大的。網(wǎng)絡(luò)嗅探器對信息安全的威脅來自其被動(dòng)性和非干擾性，使得網(wǎng)絡(luò)嗅探具有很強(qiáng)的隱蔽性，往往讓網(wǎng)絡(luò)信息泄密而不易被發(fā)現(xiàn)。嗅探器的工作原理如下。網(wǎng)絡(luò)嗅探就是利用這個(gè)特點(diǎn)將過濾器關(guān)閉掉，把網(wǎng)卡設(shè)置為混雜模式，成為雜錯(cuò)節(jié)點(diǎn)，嗅探程序就能接收整個(gè)以太網(wǎng)上的包括不屬于本機(jī)的數(shù)據(jù)信息。它可以幫助網(wǎng)絡(luò)管理員查找網(wǎng)絡(luò)漏洞和監(jiān)測網(wǎng)絡(luò)性能，可以分析網(wǎng)絡(luò)流量。 15 網(wǎng)絡(luò)嗅探攻擊與防范 3 ? 網(wǎng)絡(luò)嗅探器一般具有幾個(gè)威脅。這是絕大多數(shù)非法使用 Sniffer者的原因。通過攔截?cái)?shù)據(jù)包，可以方便的記錄敏感信息。這在前面已經(jīng)提到。若用戶輸入數(shù)據(jù)長度超過應(yīng)用程序給定的緩沖區(qū)，則會(huì)覆蓋其他數(shù)據(jù)區(qū)，這就是緩沖區(qū)溢出，也叫做堆棧溢出 ? 緩沖區(qū)溢出攻擊時(shí)一種系統(tǒng)攻擊手段，通過向程序的緩沖區(qū)寫超出其長度的內(nèi)容，造成緩沖區(qū)的溢出，從而破壞程序的堆棧，使程序轉(zhuǎn)而執(zhí)行其他指令，以達(dá)到攻擊的目的。最常見的手段是通過制造緩沖區(qū)溢出使程序運(yùn)行一個(gè)用戶 Shell，再通過 Shell執(zhí)行其他命令。即使一個(gè)攻擊者成功改變了程序指針，由于系統(tǒng)實(shí)現(xiàn)檢測到了指針改變，因此指針也不會(huì)被使用。通過檢查函數(shù)活動(dòng)記錄中的返回地址來實(shí)現(xiàn)。如果發(fā)生過緩沖區(qū)溢出的攻擊，那么這種攻擊很容易在函數(shù)返回前被檢測到。最直接的方法是檢查所有的數(shù)組操作，通?？梢圆捎靡恍﹥?yōu)化的技術(shù)來減少檢查單次數(shù)。它主要是針對網(wǎng)頁進(jìn)行的一種攻擊。 20 木馬攻擊與檢查防范 1 ? 木馬 —— 又稱特洛伊木馬，是一種用于竊取用戶的密碼資料、破壞硬盤內(nèi)的數(shù)據(jù)或程序的軟件。 ? 黑客的主要攻擊手段之一，就是使用木馬技術(shù)滲透到對方的主機(jī)系統(tǒng)中，從而實(shí)現(xiàn)對遠(yuǎn)程目標(biāo)主機(jī)的控制。 21 木馬攻擊與檢查防范 2 ? 黑客利用木馬入侵網(wǎng)絡(luò)中的電腦，從而達(dá)到操作被入侵電腦的目的。 22 木馬攻擊與檢查防范 3 ? 黑客常將已經(jīng)被木馬入侵的主機(jī)成為服務(wù)器，而將用于接收或控制木馬運(yùn)行的電腦稱為客戶端，因此一個(gè)完整的木馬軟件一般是由兩部分組成，即入侵軟件和控制軟件，它們的關(guān)系如圖 71所示。 ? 偽裝性 —— 由于人們對于病毒以及木馬警覺性的提高，木馬通常需要將自己偽裝成其他程序才能消除用戶的戒心，使用戶不會(huì)認(rèn)為它是來歷不明的程序，達(dá)到不知不覺進(jìn)入主機(jī)的目的。 ? 頑固性 —— 某些木馬會(huì)在系統(tǒng)文件中留下備份文件，當(dāng)用戶用殺毒軟件清除木馬時(shí)，備份文件很難被清除掉，使這些病毒具有了“死灰復(fù)燃”的能力。 24 木馬攻擊與檢查防范 5 ? 防治木馬，常用簡單使用措施如下： ? 安裝殺毒軟件和個(gè)人防火墻，并及時(shí)升級； ? 將個(gè)人防火墻設(shè)置好安全等級，防治未知程序向外傳送數(shù)據(jù)； ? 考慮使用安全性比較好的瀏覽器和電子郵件客戶端工具； ? 如果使用 IE瀏覽器，應(yīng)該看裝一些安全助手，防止惡意網(wǎng)站在自己的電腦上安裝不明軟件和瀏覽器插件，以免被木馬乘機(jī)侵入。無論何時(shí)，當(dāng)用戶從網(wǎng)站上下載一個(gè)軟件的時(shí)候，都應(yīng)該生成相應(yīng)文件的 Hash值，之后與發(fā)布廠商網(wǎng)站上的 Hash值進(jìn)行比較。 ? 進(jìn)程和端口監(jiān)控 —— 監(jiān)控端口指監(jiān)控系統(tǒng)當(dāng)前哪些端口是處于監(jiān)聽、連接狀態(tài)，哪些進(jìn)程在使用哪些端口，即進(jìn)行進(jìn)程與端口的關(guān)聯(lián)。常用的 stat –na命令就可以實(shí)現(xiàn)這一功能 。它通過對計(jì)算機(jī)網(wǎng)絡(luò)或計(jì)算機(jī)系統(tǒng)中若干關(guān)鍵點(diǎn)收集信息并對其進(jìn)行分析，從中發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和被攻擊的跡象。這些都通過它執(zhí)行以下任務(wù)來實(shí)現(xiàn)： ? 監(jiān)視、分析用戶及系統(tǒng)活動(dòng)； ? 系統(tǒng)構(gòu)造和弱點(diǎn)的審計(jì)； ? 識別反映已知進(jìn)攻的活動(dòng)模式并向相關(guān)人士報(bào)警； ? 異常行為模式的統(tǒng)計(jì)分析； ? 評估重要系統(tǒng)和數(shù)據(jù)文件的完整性； ? 操作系統(tǒng)的審計(jì)跟蹤管理，并識別用戶違反安全策略的行為 28 （ 2） 入侵檢測系統(tǒng) ? 入侵檢測系統(tǒng)（簡稱 “IDS”） —— 是一種對網(wǎng)絡(luò)傳輸進(jìn)行即時(shí)監(jiān)視，在發(fā)現(xiàn)可疑傳輸時(shí)發(fā)出警報(bào)或者采取主動(dòng)反應(yīng)措施的網(wǎng)絡(luò)安全設(shè)備。 29 （ 3） 入侵檢測的分類 ? 1）按照分析方法（檢測方法） ? 異常檢測（ Anomaly Detection ) ? 誤用檢測（ Misuse Detection) ? 2）按照數(shù)據(jù)來源 ? 基于主機(jī) ? 基于網(wǎng)絡(luò) ? 混合型 ? 3）按系統(tǒng)各模塊的運(yùn)行方式 ? 集中式 ? 分布式 ? 4）根據(jù)時(shí)效性 ? 脫機(jī)分析 ? 聯(lián)機(jī)分析 30 ? 入侵響應(yīng) （ Intrusion Response） —— 是指當(dāng)檢測到入侵或攻擊時(shí)，采取適當(dāng)?shù)拇胧┳柚谷肭趾凸舻倪M(jìn)行；入侵響
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1