监测分布式拒绝服务
很多人或工具在监测分布式拒绝办事攻击时常犯的错误是只搜刮那些DDoS工具的缺省特性字符串、缺省端口、缺省口令等。要建立网络入侵监测体系（NIDS）对这些工具的监测规矩，人们必需偏重观察分析DDoS网络通讯的广泛特性，不管是明显的，照旧模糊的。
DDoS工具孕育发生的网络通讯信息有两种：控制信息通讯（在DDoS客户端与办事器端之间）和攻击时的网络通讯（在DDoS办事器端与目标主机之间）。
根据以下异常现象在网络入侵监测体系建立相应规矩，能够较准确地监测出DDoS攻击。
异常现象0：固然这不是真正的"DDoS"通讯，但却能够用来确定DDoS攻击的来源。根据分析，攻击者在举行DDoS攻击前总要剖析目标的主机名。BIND域名办事器能够记载这些请求。由于每台攻击办事器在举行一个攻击前会发出PTR反向盘问请求，也就是说在DDoS攻击前域名办事器会吸收到大量的反向剖析目标IP主机名的PTR盘问请求。
异常现象1：当DDoS攻击一个站点时，会出现明显超出该网络正常工作时的极限通讯流量的现象。如今的技能能够分别对差别的源地点盘算出对应的极限值。当明显超出此极限值时就评释存在DDoS攻击的通讯。因此可以在主干路由器端建立ACL拜访控制规矩以监测和过滤这些通讯。
异常现象2：特大型的ICP和UDP数据包。正常的UDP会话一般都使用小的UDP包，通常有用数据内容不超过10字节。正常的ICMP音讯也不会超过64到128字节。那些巨细明显大得多的数据包很有大概就是控制信息通讯用的，重要含有加密后的目标地点和一些下令选项。一旦捕获到（没有颠末伪造的）控制信息通讯，DDoS办事器的位置就无所遁形了，因为控制信息通讯数据包的目标地点是没有伪造的。
异常现象3：不属于正常毗连通讯的TCP和UDP数据包。最潜伏的DDoS工具随机使用多种通讯协议（包括基于毗连的协议）通过基于无毗连通道发送数据。良好的防火墙和路由规矩能够发明这些数据包。另外，那些毗连到高于1024而且不属于常用网络办事的目标端口的数据包也黑白常值得猜疑的。
异常现象4：数据段内容只包罗文字和数字字符（例如，没有空格、标点和控制字符）的数据包。这每每是数据颠末BASE64编码后而只会含有base64字符集字符的特性。TFN2K发送的控制信息数据包就是这种类型的数据包。TFN2K（及其变种）的特性形式是在数据段中有一串A字符（AAA……），这是颠末调整数据段巨细和加密算法后的结果。要是没有使用BASE64编码，对于使用了加密算法数据包，这个连续的字符就是“\0”。
异常现象5：数据段内容只包罗二进制和high-bit字符的数据包。固然此时大概在传输二进制文件，但要是这些数据包不属于正常有用的通讯时，可以猜疑正在传输的是没有被BASE64编码但颠末加密的控制信息通讯数据包。（要是实施这种规矩，必需将20、21、80等端口上的传输清除在外。）
- 文章作者: 福州军威计算机技术有限公司
军威网络是福州最专业的电脑维修公司,专业承接福州电脑维修、上门维修、IT外包、企业电脑包年维护、局域网网络布线、网吧承包等相关维修服务。
版权声明：原创作品，允许转载，转载时请务必以超链接形式标明文章原始出处 、作者信息和声明。否则将追究法律责任。
TAG:
|
评论加载中...
|
