X-Attack 网路攻击讯务的监测.ppt

X-Attack 網路攻擊訊務的監測 ?國立中央大學 電算中心 楊素秋 Mar-26, 2003 大 綱 1.前言 2.網路轉送訊務紀錄的擷取 3.網路攻擊模式 4.攻擊訊務的監測 5.結語 1.前言 網路快速擴展 多元的網路應用 網路攻擊訊務的大量感染與癱瘓網路服務 協助網路管理者 了解網路訊務量測工具 了解基本的X-Attack網路攻擊模式 監測所管理互連網路的攻擊訊務 2.網路轉送訊務紀錄的擷取 Tcpdump 典型的LAN區域網路封包監聽程式 Layer 2 MAC addresses, Layer 3 IP addresses, layer 4 application ports (TCP operand) Packet payload Tcpdump Tcpshow 轉送訊務紀錄的擷取(cont) 網路用戶 藉由Tcpdump監聽log, 確認主機或應用程式傳訊功能. 篩選/追蹤特定轉送log host IP network protocol 應用port 轉送訊務紀錄的擷取(cont) 網管人員 透過TCPdump監聽廣播網段的end-to-end封包轉送紀錄, 依據各紀錄項, 統計與分析確切的連網運務量 IP address packet length Monitoring Top-10 users TCP/UDP socket ports packet length Prevalent Application Traffic Composition 轉送訊務紀錄的擷取(cont) NetFlow Router座於 WAN網路的閘門位置,負責轉送匯集於此的所有Internet封包,暫存/加總每一過境封包的header資訊. source IP.source port destination IP. destination port source destination routing interface protocol identifier, packet count,byte count 轉送訊務紀錄的擷取(cont) Flow-based的 Netflow 能支援 light-weight訊務統計與多樣的訊務特徵追蹤 利用國外傳訊router訊務轉送log 追蹤攻擊訊務與Streaming media訊務傳訊特質 統計與實作UDP應用訊務監測網頁. 3.網路攻擊模式 基本的網路偵錯工具 Typical Attack Program DOS網路供攻擊 DDOS DRDOS Network Worm W32.CodeRed.Worm, W32.Nimda.Worm FreeBSD.Scalper.Worm, Linux.Slapper.Worm 基本的網路偵錯工具 Ping ICMP echo request/reply ping packet size option Loop ping Echoping Loop ping option ping packet size optin chargen, discard option HTTP, SMTP option Typical Attack Program Nestea Stupid remote DOS attack April 1998 Send massive UDP attack packets to the target victim The loop usleep parameter Send attack packets with hundreds of spoofed IP source addresses Nestea 54 –s 4444 –t 5555 –n 500 DOS網路攻擊 DOS (Denial Of Service) Attack Consume the resources of a remote host or networks Degrading services to legitimate users Introduce hardest security problem Simple to implement Hard to prevent Snoofed IP addresses Difficult to trace DOS has increased in frequency Ping floods SYN floods Code Red UDP Bombs Echo ( 7/UDP) Discard ( 9/UDP) Chargen (19/UDP) DDOS Distributed DOS Aim to saturate the bandwidth o