攻击和对策
IDS：入侵检测系统
- 分组过滤
- 对TCP/IP头部进行检查
- 不检查会话间的相关性
- IDS:intrusion detection system
- 深入分组检查：检查分组的内容（e.g. 检查分组中的特征串，已知攻击数据库的病毒和攻击串）
- 检查分组间的相关性，判断是否是有害的分组
- 端口扫描
- 网络映射
- Dos攻击
- multiple IDSs：在不同的地点进行不同类型的检查
Internet 安全威胁
映射
- 在攻击之前：“踩点” - 发现在网络上实现了哪些服务
- 使用ping来判断哪些主机在网络上有地址
- 端口扫描：试图顺序地在每一个端口上建立TCP连接（看看发生了什么）
- nmap(http://www.insecure.org/nmap/)mapper:“network exploration and security auditing”
对策
- 记录进入到网络中的流量通信
- 发现可疑的行为(IP address，端口被依次扫描)
分组嗅探
- 广播式介质
- 混杂模式的NIC获取所有的信道上的分组
- 可获取所有未加密的数据(e.g. password)
- e.g. C嗅探B的分组
对策
- 机构中的所有主机都运行能够监测软件，周期性的检查是否有网卡运行于混杂模式
- 每一个主机一个独立的网段(交换式以太网而不是使用集线器)
IP Spoofing欺骗
- 可以由应用进程直接产生"raw"IP分组，而且可以在IP源地址部分直接放置任何地址
- 接收端无法判断源地址是不是具有欺骗性的
- e.g. C伪装成B
对策：IP Spoofing 入口过滤
- 路由器对那些具有非法源地址的分组不进行转发(e.g. 数据报的源地址不是路由器所在的网络地址)
- 很好，但是入口过滤不能够在全网范围内安装
Denial of server(DOS)对策
- 在到达主机之前过滤掉这些泛洪的分组(e.g. SYN)：throw out good with bad
- 回溯到源主机(most likely an innocent, compromised machine)
