| IDS要有效地捕捉入侵行為，必須擁有一個強大的入侵特征數(shù)據(jù)庫，這就如同一款強大的殺毒軟件必須擁有強大且完善的病毒庫一樣。但是，IDS一般所帶的特征數(shù)據(jù)庫都比較滯后于新的攻擊手段，入侵行為稍微改變往往便會相逢不相識。因此，管理員有必要學(xué)會如何創(chuàng)建滿足實際需要的特征數(shù)據(jù)樣板!本文將對入侵特征的概念、種類以及如何創(chuàng)建特征進行介紹，希望能幫助讀者盡快掌握對付入侵行為的方法。
特征(Signature)的基本概念 IDS中的特征一般指用于判別通訊信息種類的特征數(shù)據(jù)，以下是一些典型情況及識別方法： 來自保留IP地址的連接企圖：可通過檢查IP報頭(IP header)的來源地址輕易地識別。 帶有非法TCP 標識的數(shù)據(jù)包：可通過對比TCP報頭中的標志集與已知正確和錯誤標記的不同點來識別。 含有特殊病毒信息的Email：可通過對比每封Email的主題信息和病態(tài)Email的主題信息來識別，或者通過搜索特定名字的附件來識別。 查詢負載中的DNS緩沖區(qū)溢出企圖：可通過解析DNS域及檢查每個域的長度來識別利用DNS域的緩沖區(qū)溢出企圖；還有另外一個識別方法是，在負載中搜索“殼代碼利用”(Exploit Shellcode)的序列代碼組合。 針對POP3服務(wù)器的DoS攻擊：通過跟蹤記錄某個命令連續(xù)發(fā)出的次數(shù)，看看是否超過了預(yù)設(shè)上限，而發(fā)出報警信息。 未登錄情況下使用文件和目錄命令對FTP服務(wù)器的文件訪問攻擊：通過創(chuàng)建具備狀態(tài)跟蹤的特征數(shù)據(jù)以監(jiān)視成功登錄的FTP對話、發(fā)現(xiàn)未經(jīng)驗證卻發(fā)命令的入侵企圖。 從以上分類可以看出特征的涵蓋范圍很廣，有簡單的報頭域數(shù)值、有高度復(fù)雜的連接狀態(tài)跟蹤、有擴展的協(xié)議分析。筆者將從最簡單的特征入手，詳細討論其功能及開發(fā)、定制方法。 但用戶需要知道的是，不同的IDS產(chǎn)品具有的特征功能也有所差異。如有些網(wǎng)絡(luò)IDS系統(tǒng)只允許很少地定制存在的特征數(shù)據(jù)或者編寫需要的特征數(shù)據(jù)，另外一些則允許在很寬的范圍內(nèi)定制或編寫用戶需求的特征數(shù)據(jù)，甚至可以是任意特征;再則一些IDS系統(tǒng)只能檢查確定的報頭或負載數(shù)值，另外一些則可以獲取任何信息包的任何位置的數(shù)據(jù)。 特征有什么作用? 這似乎是一個答案很明顯的問題：特征是檢測數(shù)據(jù)包中的可疑內(nèi)容是否存在攻擊行為的對照物。IDS系統(tǒng)本身已經(jīng)擁有了特征庫，為什么還需要定制或編寫特征呢?筆者以為，也許你經(jīng)常看到一些熟悉的通訊信息流在網(wǎng)絡(luò)上游蕩，由于IDS系統(tǒng)的特征數(shù)據(jù)庫滯后或者這些通訊信息本身就不是攻擊或探測數(shù)據(jù)，IDS系統(tǒng)并不會十分關(guān)注這樣的信息，但身為網(wǎng)絡(luò)的管理員，我們必須對這樣的可疑數(shù)據(jù)提高警惕，因此我們需要指定一些特征樣本，捕捉它們、仔細分析它們從何而來，目的又是什么。因此唯一的辦法就是對現(xiàn)有特征數(shù)據(jù)庫進行一些定制配置或者編寫新的特征數(shù)據(jù)。 特征的定制或編寫程度可粗可細，完全取決于實際需求。或者是只判斷是否發(fā)生了異常行為而不確定具體是什么攻擊，從而節(jié)省資源和時間;或者是判斷出具體的攻擊手段或漏洞利用方式，從而獲取更多的信息。 報頭值(Header Values) 報頭值的結(jié)構(gòu)比較簡單，而且可以很清楚地識別出異常報頭信息，因此在編寫特征數(shù)據(jù)時，首先想到的就是它。一個經(jīng)典的例子是：明顯違背RFC793中規(guī)定的TCP標準、設(shè)置了SYN和FIN標記的TCP數(shù)據(jù)包。這種數(shù)據(jù)包被許多入侵軟件采用，向防火墻、路由器以及IDS系統(tǒng)發(fā)起攻擊。異常報頭值的來源有以下幾種： 因為大多數(shù)操作系統(tǒng)和應(yīng)用軟件都是在假定RFC被嚴格遵守的情況下編寫的，沒有添加針對異常數(shù)據(jù)的錯誤處理程序，所以許多包含報頭值的漏洞利用都會故意違反RFC的標準定義。許多包含錯誤代碼的不完善軟件也會產(chǎn)生違反RFC定義的報頭值數(shù)據(jù)。并非所有的操作系統(tǒng)和應(yīng)用程序都能全面擁護RFC定義，至少會存在一個方面與RFC不協(xié)調(diào)。當然隨著時間推移，技術(shù)的不斷創(chuàng)新，執(zhí)行新功能的協(xié)議可能不被包含于現(xiàn)有RFC中。 由于以上幾種情況，嚴格基于RFC的IDS特征數(shù)據(jù)就有可能產(chǎn)生漏報或誤報效果。對此，RFC也隨著新出現(xiàn)的違反信息而不斷進行著更新，這就需要我們有必要定期地回顧或更新存在的特征數(shù)據(jù)定義，及時發(fā)現(xiàn)不足。 非法報頭值是特征數(shù)據(jù)的一個非常基礎(chǔ)的部分，合法但可疑的報頭值也同等重要。例如，如果存在到端口31337或27374的可疑連接，就可能存在木馬活動;再附加上其他更詳細地探測信息，就能夠進一步地判斷是否真的存在木馬。 確定特征數(shù)據(jù)的候選對象 為了更好地理解如何開發(fā)基于報頭值的特殊數(shù)據(jù)，下面通過分析一個實例的進行詳細闡述。 Synscan是一個流行的用于掃描和探測系統(tǒng)的工具，由于它的代碼被用于創(chuàng)建蠕蟲Ramen的頭部片斷而在2001年早期大出風(fēng)頭。Synscan的執(zhí)行行為很具典型性，它發(fā)出的信息包具有多種可分辨的特性，包括： 不同的來源IP地址信息 TCP來源端口21，目標端口21 服務(wù)類型0 IP鑒定號碼39426(IP identification number) 設(shè)置SYN和FIN標志位 不同的序列號集合(sequence numbers set) 不同的確認號碼集合(acknowledgment numbers set) TCP窗口尺寸1028 下面我們對以上這些數(shù)據(jù)進行篩選，看看哪個比較合適做特征數(shù)據(jù)。我們要尋找的是非法、異常或可疑數(shù)據(jù)，大多數(shù)情況下，這都反映出攻擊者利用的漏洞或者他們使用的特殊技術(shù)。以下是特征數(shù)據(jù)的候選對象： 只具有SYN和FIN標志集的數(shù)據(jù)包，這是公認的惡意行為跡象。 沒有設(shè)置ACK標志，但卻具有不同確認號碼數(shù)值的數(shù)據(jù)包，而正常情況應(yīng)該是0。 來源端口和目標端口都被設(shè)置為21的數(shù)據(jù)包，經(jīng)常與FTP服務(wù)器關(guān)聯(lián)。這種端口相同的情況一般被稱為reflexive，除了個別時候如進行一些特別NetBIOS通訊外，正常情況下不應(yīng)該出現(xiàn)這種現(xiàn)象。reflexive端口本身并不違反TCP標準，但大多數(shù)情況下它們并非預(yù)期數(shù)值。例如在一個正常的FTP對話中，目標端口一般是21，而來源端口通常都高于1023。 TCP窗口尺寸為1028，IP鑒定號碼在所有數(shù)據(jù)包中為39426。根據(jù)IP RFC的定義，這2類數(shù)值應(yīng)在數(shù)據(jù)包間有所不同，因此，如果持續(xù)不變，就表明可疑。 如何正確使用特征 從以上4個候選特征對象中，我們可以單獨選出一項作為基于報頭的特征數(shù)據(jù)，也可以選出多項組合作為特征數(shù)據(jù)。 選擇一項數(shù)據(jù)作為特征有很大的局限性。例如一個簡單的特征可以是只具有SYN和FIN標志的數(shù)據(jù)包，雖然這可以很好地提示我們可能有一個可疑的行為發(fā)生，但卻不能給出為什么會發(fā)生的更多信息。SYN和FIN通常聯(lián)合在一起攻擊防護墻和其他設(shè)備，只要有它們出現(xiàn)，就預(yù)示著掃描正在發(fā)生、信息正在收集、攻擊將要開始。但僅僅這些而已，我們需要的是更多的細節(jié)資料。 選擇以上4項數(shù)據(jù)聯(lián)合作為特征也不現(xiàn)實，因為這顯得有些太特殊了，而且可能占有太多的系統(tǒng)資源。盡管能夠精確地提供行為信息，但是比僅僅使用一個數(shù)據(jù)作為特征而言，會顯得遠遠缺乏效率。實際上，特征定義永遠要在效率和精確度間取得折中。大多數(shù)情況下，簡單特征比復(fù)雜特征更傾向于誤報(false positives)，因為前者很普遍;復(fù)雜特征比簡單特征更傾向于漏報(false negatives)，因為前者太過全面，攻擊軟件的某個特征會隨著時間的推進而變化。 多也不行，少亦不可，完全應(yīng)由實際情況決定。例如，我們想判斷攻擊可能采用的工具是什么，那么除了SYN和FIN標志以外，還需要什么其他屬性?“反身”端口雖然可疑，但是許多工具都使用到它，而且一些正常通訊也有此現(xiàn)象，因此不適宜選為特征。TCP窗口尺寸1028盡管有一點可疑，但也會自然的發(fā)生。IP鑒定號碼39426也一樣。沒有ACK標志的ACK數(shù)值很明顯是非法的，因此非常適于選為特征數(shù)據(jù)。當然，根據(jù)環(huán)境的不同，及時地調(diào)整或組合特征數(shù)據(jù)，才是達到最優(yōu)效果的不二法門。 接下來我們創(chuàng)建一個特征，用于尋找并確定synscan發(fā)出的每個TCP信息包中的以下屬性： 只設(shè)置了SYN和FIN標志 IP鑒定號碼為39426 TCP窗口尺寸為1028 第一個項目已經(jīng)十分普遍，第二個和第三個項目聯(lián)合出現(xiàn)在同一數(shù)據(jù)包的情況不很多，因此，將這三個項目組合起來就可以定義一個詳細的特征了。再加上其他的synscan屬性不會顯著地提高特征的精確度，只能增加資源的耗費。到此，判別synscan軟件的特征如此就創(chuàng)建完畢了。 擴展，創(chuàng)建識別更多異常通訊的特征 以上創(chuàng)建的特征可以滿足對標準synscan軟件的探測了。但synscan可能存在多種變化，而其它工具也可能是隨時改變的，這樣上述建立的特征必然不能將它們一一識別。這時就需要結(jié)合使用特殊特征和通用特征，才能創(chuàng)建一個更好、更全面的解決方案。如果一個入侵檢測特征既能揭示已知威脅，還能預(yù)測潛在威脅，這樣會大大提供IDS的性能。 首先看一個“變臉”synscan所發(fā)出的數(shù)據(jù)信息特征： 只設(shè)置了SYN標志，純屬正常的TCP數(shù)據(jù)包特征。 TCP窗口尺寸總是40而不是1028。40是初始SYN信息包中一個罕見的小窗口尺寸，比正常的數(shù)值1028少見得多。 “反身”端口數(shù)值為53而不是21。老版本的BIND使用“反身”端口用于特殊操作，新版本BIND則不再使用它，因此，經(jīng)常看到這個信息會讓我們睜大懷疑的眼睛。 以上3種數(shù)據(jù)與標準synscan產(chǎn)生的數(shù)據(jù)有很多相似出，因此可以初步推斷產(chǎn)生它的工具或者是synscan的不同版本，或者是其他基于synscan代碼的工具。顯然，前面定義的特征已經(jīng)不能將這個“變臉”識別出來，因為3個特征子項已經(jīng)面目全非。這時，我們可以采取三種方法： 再單獨創(chuàng)建一個匹配這些內(nèi)容的特殊特征。 調(diào)整我們的探測目標，只關(guān)注普通的異常行為，而不是特殊的異常行為，創(chuàng)建識別普通異常行為的通用特征。 1和2都創(chuàng)建，既全面撒網(wǎng)，也重點垂釣，真實的罪犯必抓，可疑的分子也別跑。 通用特征可以創(chuàng)建如下： 沒有設(shè)置確認標志，但是確認數(shù)值卻非0的TCP數(shù)據(jù)包。 只設(shè)置了SYN和FIN標志的TCP數(shù)據(jù)包。 初始TCP窗口尺寸低于一定數(shù)值的TCP數(shù)據(jù)包。 使用以上的通用特征，上面提到過的兩種異常數(shù)據(jù)包都可以有效地識別出來。看來，網(wǎng)大好撈魚啊。 當然，如果需要更加詳細地探測，再在這些通用特征的基礎(chǔ)上添加一些個性數(shù)據(jù)就可以創(chuàng)建出一個特殊特征來。還是那個觀點，創(chuàng)建什么樣的特征、創(chuàng)建哪些特征，取決于實際需求，實踐是檢測創(chuàng)建何種特征的唯一標準嗎! 報頭值關(guān)鍵元素小結(jié)，信息包種類檢查分析 從上面討論的例子中，我們看到了可用于創(chuàng)建IDS特征的多種報頭值信息。通常，最有可能用于生成報頭相關(guān)特征的元素為以下幾種： IP地址，特別保留地址、非路由地址、廣播地址。 不應(yīng)被使用的端口號，特別是眾所周知的協(xié)議端口號和木馬端口號。 異常信息包片斷。 特殊TCP標志組合值。 不應(yīng)該經(jīng)常出現(xiàn)的ICMP字節(jié)或代碼。 知道了如何使用基于報頭的特征數(shù)據(jù)，接下來要確定的是檢查何種信息包。確定的標準依然是根據(jù)實際需求而定。因為ICMP和UDP信息包是無狀態(tài)的，所以大多數(shù)情況下，需要對它們的每一個屬性都進行檢查。而TCP信息包是有連接狀態(tài)的，因此有時候可以只檢查連接中的第一個信息包。例如，象IP地址和端口這樣的特征將在連接的所有數(shù)據(jù)包中保持不變，只對它們檢查一次就可放心。其他特征如TCP標志會在對話過程的不同數(shù)據(jù)包中有所不同，如果要查找特殊的標志組合值，就需要對每一個數(shù)據(jù)包進行檢查。檢查的數(shù)量越多，消耗的資源和時間也就越多。 另外我們還要了解一點：關(guān)注TCP、UDP或者ICMP的報頭信息要比關(guān)注DNS報頭信息更方便。因為TCP、UDP以及ICMP都屬于IP協(xié)議，它們的報頭信息和載荷信息都位于IP數(shù)據(jù)包的payload部分，比如要獲取TCP報頭數(shù)值，首先解析IP報頭，然后就可以判斷出這個載荷的父類是TCP。而象DNS這樣的協(xié)議，它又包含在UDP和TCP數(shù)據(jù)包的載荷中，如果要獲取DNS的信息，就必須深入2層才能看到真面目。而且，解析此類協(xié)議還需要更多更復(fù)雜的編程代碼，完全不如TCP等簡單。實際上，這個解析操作也正是區(qū)分不同協(xié)議的關(guān)鍵所在，評價IDS系統(tǒng)的好壞也體現(xiàn)在是否能夠很好地分析更多的協(xié)議。 結(jié)語 本文對如何定制IDS的關(guān)鍵部件特征數(shù)據(jù)庫做了詳細地介紹，相信你已經(jīng)對此有了進一步的認識。入侵者總是狡猾多變的，我們不能讓手中的鋼刀有刃無光，要經(jīng)常地磨礪它、改裝它，才可能以萬變應(yīng)萬變，讓入侵者膽戰(zhàn)心驚! |
免責(zé)聲明：本站部分文章和圖片均來自用戶投稿和網(wǎng)絡(luò)收集，旨在傳播知識，文章和圖片版權(quán)歸原作者及原出處所有，僅供學(xué)習(xí)與參考，請勿用于商業(yè)用途，如果損害了您的權(quán)利，請聯(lián)系我們及時修正或刪除。謝謝！
始終以前瞻性的眼光聚焦站長、創(chuàng)業(yè)、互聯(lián)網(wǎng)等領(lǐng)域，為您提供最新最全的互聯(lián)網(wǎng)資訊，幫助站長轉(zhuǎn)型升級，為互聯(lián)網(wǎng)創(chuàng)業(yè)者提供更加優(yōu)質(zhì)的創(chuàng)業(yè)信息和品牌營銷服務(wù)，與站長一起進步！讓互聯(lián)網(wǎng)創(chuàng)業(yè)者不再孤獨！
掃一掃，關(guān)注站長網(wǎng)微信
大家都在看
