資源描述:
《snort入侵檢測系統(tǒng)》由會員上傳分享,免費在線閱讀,更多相關內(nèi)容在教育資源-天天文庫。
1、入侵檢測課程設計題目snort入侵檢測系統(tǒng)計算機科學學院計算機科學與技術專業(yè)09級計算科學與技術本科班學號:__姓名:指導教師:____成績:_______________完成時間:_2012年_12月基于snort的入侵檢測系統(tǒng)一.引言1、網(wǎng)絡安全網(wǎng)絡安全的具體含義會隨著“角度”的變化而變化。比如:從用戶(個人、企業(yè)等)的角度來說,他們希望涉及個人隱私或商業(yè)利益的信息在網(wǎng)絡上傳輸時受到機密性、完整性和真實性的保護,避免其他人或?qū)κ掷酶`聽、冒充、篡改、抵賴等手段侵犯用戶的利益和隱私。(1)、網(wǎng)絡安全的目的從網(wǎng)絡運行和管理者角度說,他們希望對本地網(wǎng)絡信息的訪問、
2、讀寫等操作受到保護和控制,避免出現(xiàn)“陷門”、病毒、非法存取、拒絕服務和網(wǎng)絡資源非法占用和非法控制等威脅,制止和防御網(wǎng)絡黑客的攻擊。對安全保密部門來說,他們希望對非法的、有害的或涉及國家機密的信息進行過濾和防堵,避免機要信息泄露,避免對社會產(chǎn)生危害,對國家造成巨大損失。從社會教育和意識形態(tài)角度來講,網(wǎng)絡上不健康的內(nèi)容,會對社會的穩(wěn)定和人類的發(fā)展造成阻礙,必須對其進行控制?! ‰S著計算機技術的迅速發(fā)展,在計算機上處理的業(yè)務也由基于單機的數(shù)學運算、文件處理,基于簡單連接的內(nèi)部網(wǎng)絡的內(nèi)部業(yè)務處理、辦公自動化等發(fā)展到基于復雜的內(nèi)部網(wǎng)(Intranet)、企業(yè)外部網(wǎng)(Ext
3、ranet)、全球互聯(lián)網(wǎng)(Internet)的企業(yè)級計算機處理系統(tǒng)和世界范圍內(nèi)的信息共享和業(yè)務處理。在系統(tǒng)處理能力提高的同時,系統(tǒng)的連接能力也在不斷的提高。但在連接能力信息、流通能力提高的同時,基于網(wǎng)絡連接的安全問題也日益突出,整體的網(wǎng)絡安全主要表現(xiàn)在以下幾個方面:網(wǎng)絡的物理安全、網(wǎng)絡拓撲結(jié)構(gòu)安全、網(wǎng)絡系統(tǒng)安全、應用系統(tǒng)安全和網(wǎng)絡管理的安全等。因此計算機安全問題,應該像每家每戶的防火防盜問題一樣,做到防范于未然。甚至不會想到你自己也會成為目標的時候,威脅就已經(jīng)出現(xiàn)了,一旦發(fā)生,常常措手不及,造成極大的損失。(2)攻擊手段1、服務拒絕攻擊服務拒絕攻擊企圖通過使你的
4、服務計算機崩潰或把它壓跨來阻止你提供服務,服務拒絕攻擊是最容易實施的攻擊行為,主要包括:<1>死亡之ping(pingofdeath)由于在早期的階段,路由器對包的最大尺寸都有限制,許多操作系統(tǒng)對TCP/IP棧的實現(xiàn)在ICMP包上都是規(guī)定64KB,并且在對包的標題頭進行讀取之后,要根據(jù)該標題頭里包含的信息來為有效載荷生成緩沖區(qū),當產(chǎn)生畸形的,聲稱自己的尺寸超過ICMP上限的包也就是加載的尺寸超過64K上限時,就會出現(xiàn)內(nèi)存分配錯誤,導致TCP/IP堆棧崩潰,致使接受方當機。<2>淚滴(teardrop)淚滴攻擊利用那些在TCP/IP堆棧實現(xiàn)中信任IP碎片中的包的標
5、題頭所包含的信息來實現(xiàn)自己的攻擊。IP分段含有指示該分段所包含的是原包的哪一段的信息,某些TCP/IP(包括servicepack4以前的NT)在收到含有重疊偏移的偽造分段時將崩潰。<3>UDP洪水(UDPflood)各種各樣的假冒攻擊利用簡單的TCP/IP服務,如Chargen和Echo來傳送毫無用處的占滿帶寬的數(shù)據(jù)。通過偽造與某一主機的Chargen服務之間的一次的UDP連接,回復地址指向開著Echo服務的一臺主機,這樣就生成在兩臺主機之間的足夠多的無用數(shù)據(jù)流,如果足夠多的數(shù)據(jù)流就會導致帶寬的服務攻擊。<4>SYN洪水(SYNflood)。一些TCP/IP棧
6、的實現(xiàn)只能等待從有限數(shù)量的計算機發(fā)來的ACK消息,因為他們只有有限的內(nèi)存緩沖區(qū)用于創(chuàng)建連接,如果這一緩沖區(qū)充滿了虛假連接的初始信息,該服務器就會對接下來的連接停止響應,直到緩沖區(qū)里的連接企圖超時。在一些創(chuàng)建連接不受限制的實現(xiàn)里,SYN洪水具有類似的影響。<5>Land攻擊在Land攻擊中,一個特別打造的SYN包它的原地址和目標地址都被設置成某一個服務器地址,此舉將導致接受服務器向它自己的地址發(fā)送SYN-ACK消息,結(jié)果這個地址又發(fā)回ACK消息并創(chuàng)建一個空連接,每一個這樣的連接都將保留直到超時掉,對Land攻擊反應不同,許多UNIX實現(xiàn)將崩潰,NT變的極其緩慢(大
7、約持續(xù)五分鐘)。<6>Smurf攻擊一個簡單的smurf攻擊通過使用將回復地址設置成受害網(wǎng)絡的廣播地址的ICMP應答請求(ping)數(shù)據(jù)包來淹沒受害主機的方式進行,最終導致該網(wǎng)絡的所有主機都對此ICMP應答請求作出答復,導致網(wǎng)絡阻塞,比pingofdeath洪水的流量高出一或兩個數(shù)量級。更加復雜的Smurf將源地址改為第三方的受害者,最終導致第三方雪崩。<7>Fraggle攻擊Fraggle攻擊對Smurf攻擊作了簡單的修改,使用的是UDP應答消息而非ICMP。<8>電子郵件炸彈電子郵件炸彈是最古老的匿名攻擊之一,通過設置一臺機器不斷的大量的向同一地址發(fā)送電子郵
8、件,攻擊者能夠耗盡接受者