|
網(wǎng)絡(luò)技術(shù)是從1990年代中期發(fā)展起來(lái)的新技術(shù)，它把互聯(lián)網(wǎng)上分散的資源融為有機(jī)整體，實(shí)現(xiàn)資源的全面共享和有機(jī)協(xié)作，使人們能夠透明地使用資源的整體能力并按需獲取信息。資源包括高性能計(jì)算機(jī)、存儲(chǔ)資源、數(shù)據(jù)資源、信息資源、知識(shí)資源、專家資源、大型數(shù)據(jù)庫(kù)、網(wǎng)絡(luò)、傳感器等。 當(dāng)前的互聯(lián)網(wǎng)只限于信息共享，網(wǎng)絡(luò)則被認(rèn)為是互聯(lián)網(wǎng)發(fā)展的第三階段。 smurf、trinoo、tfn、tfn2k以及stacheldraht是比較常見(jiàn)的DoS攻擊程序，本文將對(duì)它們的原理以及抵御措施進(jìn)行論述，以幫助管理員有效地抵御DoS風(fēng)暴攻擊，維護(hù)站點(diǎn)安全。一、何為"smurf 攻擊"，如何抵御？ Smurf是一種簡(jiǎn)單但有效的 DDoS 攻擊技術(shù)，它利用了 下面是Smurf DDoS 攻擊的基本特性以及建議采用的抵御策略： 1、Smurf的攻擊平臺(tái)：smurf為了能工作，必須要找到攻擊平臺(tái)，這個(gè)平臺(tái)就是：其路由器上啟動(dòng)了 IP廣播功能。這個(gè)功能允許 smurf 發(fā)送一個(gè)偽造的ping信息包，然后將它傳播到整個(gè)計(jì)算機(jī)網(wǎng)絡(luò)中。 2、為防止系統(tǒng)成為 smurf攻擊的平臺(tái)，要將所有路由器上IP的廣播功能都禁止。一般來(lái)講，IP廣播功能并不需要。 3、攻擊者也有可能從LAN內(nèi)部發(fā)動(dòng)一個(gè)smurf攻擊，在這種情況下，禁止路由器上的IP 廣播功能就沒(méi)有用了。為了避免這樣一個(gè)攻擊，許多操作系統(tǒng)都提供了相應(yīng)設(shè)置，防止計(jì)算機(jī)對(duì)IP廣播請(qǐng)求做出響應(yīng)。 4、如果攻擊者要成功地利用你成為攻擊平臺(tái)，你的路由器必須要允許信息包以不是從你的內(nèi)網(wǎng)中產(chǎn)生的源地址離開(kāi)網(wǎng)絡(luò)。配置路由器，讓它將不是由你的內(nèi)網(wǎng)中生成的信息包過(guò)濾出去，這是有可能做到的。這就是所謂的網(wǎng)絡(luò)出口過(guò)濾器功能。 5、ISP則應(yīng)使用網(wǎng)絡(luò)入口過(guò)濾器，以丟掉那些不是來(lái)自一個(gè)已知范圍內(nèi)IP地址的信息包。 6、挫敗一個(gè)smurf 攻擊的最簡(jiǎn)單方法對(duì)邊界路由器的回音應(yīng)答(echo reply)信息包進(jìn)行過(guò)濾，然后丟棄它們，這樣就能阻止“命中”Web服務(wù)器和內(nèi)網(wǎng)。對(duì)于那些使用Cisco路由器的人，另一個(gè)選擇是CAR (Committed Access Rate，承諾訪問(wèn)速率)。 丟棄所有的回音應(yīng)答信息包能使網(wǎng)絡(luò)避免被淹沒(méi)，但是它不能防止來(lái)自上游供應(yīng)者通道的交通堵塞。如果你成為了攻擊的目標(biāo)，就要請(qǐng)求ISP對(duì)回音應(yīng)答信息包進(jìn)行過(guò)濾并丟棄。 如果不想完全禁止回音應(yīng)答，那么可以有選擇地丟棄那些指向你的公用Web 服務(wù)器的回音應(yīng)答信息包。CAR 技術(shù)由Cisco 開(kāi)發(fā)，它能夠規(guī)定出各種信息包類型使用的帶寬的最大值。例如，使用CAR，我們就可以精確地規(guī)定回音應(yīng)答信息包所使用的帶寬的最大值。 二、何為 "trinoo"，如何抵御它？ trinoo 是復(fù)雜的 DDoS 攻擊程序，它使用“master”程序?qū)?shí)際實(shí)施攻擊的任何數(shù)量的“代理”程序?qū)崿F(xiàn)自動(dòng)控制。攻擊者連接到安裝了master程序的計(jì)算機(jī)，啟動(dòng)master程序，然后根據(jù)一個(gè)IP地址的列表，由master程序負(fù)責(zé)啟動(dòng)所有的代理程序。接著，代理程序用UDP 信息包沖擊網(wǎng)絡(luò)，從而攻擊目標(biāo)。在攻擊之前，侵入者為了安裝軟件，已經(jīng)控制了裝有master程序的計(jì)算機(jī)和所有裝有代理程序的計(jì)算機(jī)。 下面是trinoo DDoS 攻擊的基本特性以及建議采用的抵御策略： 1、在master程序與代理程序的所有通訊中，trinoo都使用了UDP協(xié)議。入侵檢測(cè)軟件能夠?qū)ふ沂褂肬DP協(xié)議的數(shù)據(jù)流(類型17)。 2、Trinoo master程序的監(jiān)聽(tīng)端口是27655，攻擊者一般借助telnet通過(guò)TCP連接到master程序所在計(jì)算機(jī)。入侵檢測(cè)軟件能夠搜索到使用TCP (類型6)并連接到端口27655的數(shù)據(jù)流。 3、所有從master程序到代理程序的通訊都包含字符串"l44"，并且被引導(dǎo)到代理的UDP 端口27444。入侵檢測(cè)軟件檢查到UDP 端口27444的連接，如果有包含字符串l44的信息包被發(fā)送過(guò)去，那么接受這個(gè)信息包的計(jì)算機(jī)可能就是DDoS代理。 4、Master和代理之間通訊受到口令的保護(hù)，但是口令不是以加密格式發(fā)送的，因此它可以被“嗅探”到并被檢測(cè)出來(lái)。使用這個(gè)口令以及來(lái)自Dave Dittrich的trinot腳本，要準(zhǔn)確地驗(yàn)證出trinoo代理的存在是很可能的。 一旦一個(gè)代理被準(zhǔn)確地識(shí)別出來(lái)，trinoo網(wǎng)絡(luò)就可以安裝如下步驟被拆除： ·在代理daemon上使用"strings"命令，將master的IP地址暴露出來(lái)。 ·與所有作為trinoo master的機(jī)器管理者聯(lián)系，通知它們這一事件。 ·在master計(jì)算機(jī)上，識(shí)別含有代理IP地址列表的文件(默認(rèn)名"...")，得到這些計(jì)算機(jī)的IP地址列表。 ·向代理發(fā)送一個(gè)偽造"trinoo"命令來(lái)禁止代理。通過(guò)crontab 文件(在UNIX系統(tǒng)中)的一個(gè)條目，代理可以有規(guī)律地重新啟動(dòng)， 因此，代理計(jì)算機(jī)需要一遍一遍地被關(guān)閉，直到代理系統(tǒng)的管理者修復(fù)了crontab文件為止。 ·檢查master程序的活動(dòng)TCP連接，這能顯示攻擊者與trinoo master程序之間存在的實(shí)時(shí)連接。 ·如果網(wǎng)絡(luò)正在遭受trinoo攻擊，那么系統(tǒng)就會(huì)被UDP 信息包所淹沒(méi)。Trinoo從同一源地址向目標(biāo)主機(jī)上的任意端口發(fā)送信息包。探測(cè)trinoo就是要找到多個(gè)UDP信息包，它們使用同一來(lái)源IP地址、同一目的IP地址、同一源端口，但是不同的目的端口。 ·在http://www.fbi.gov/nipc/trinoo.htm上有一個(gè)檢測(cè)和根除trinoo的自動(dòng)程序。 網(wǎng)絡(luò)的神奇作用吸引著越來(lái)越多的用戶加入其中，正因如此，網(wǎng)絡(luò)的承受能力也面臨著越來(lái)越嚴(yán)峻的考驗(yàn)―從硬件上、軟件上、所用標(biāo)準(zhǔn)上......，各項(xiàng)技術(shù)都需要適時(shí)應(yīng)勢(shì)，對(duì)應(yīng)發(fā)展，這正是網(wǎng)絡(luò)迅速走向進(jìn)步的催化劑。 |
溫馨提示：喜歡本站的話，請(qǐng)收藏一下本站！
本站發(fā)布的Win7純凈版系統(tǒng)、Win10純凈版和XP純凈版系統(tǒng)僅為個(gè)人學(xué)習(xí)測(cè)試使用，請(qǐng)?jiān)谙螺d后24小時(shí)內(nèi)刪除，不得用于任何商業(yè)用途，否則后果自負(fù)，請(qǐng)支持購(gòu)買微軟正版軟件！
本站所有資源全部來(lái)自于網(wǎng)絡(luò)資源,如侵犯到您的權(quán)益,請(qǐng)及時(shí)通知我們(),我們會(huì)及時(shí)處理.
Copyright © 2018-2020 蘿卜系統(tǒng) 手機(jī)站 關(guān)于本站
