Network Security Platform 7.0 IPS Administration Guide - McAfee

7
拒绝服务
Network Security Platform 用于应对 DoS 攻击的方法
• Connection Limiting policies(连接限制策略)
• 连接限制策略包括一套规则,Sensor 通过这些规则来限制主机可以建立的连接数或连接速率。
Network Security Platform DoS 检测特征码
Network Security Platform 使用攻击特征码检测多个已知 DDoS 攻击工具之间的通信。
攻击特征码可识别用于创建 DDoS 攻击的实用程序(如 Trinoo、Stacheldraht 和 Trinity)之间的特定通信。例如,当
Trinity 主人指示其傀儡发动分布式攻击时,特征码可以标识来自 Trinity 主人的通信。
Network Security Platform 还会对不是由传统方法(如流量超载)引发的 DoS 攻击使用漏洞利用特征码。例如,HTTP:
Microsoft IIS..SLASH..DenialofService 利用漏洞可识别阻止旧版 IIS 服务器在重新启动前响应客户端的单个请求。
Sensor 使用特征码执行不同级别的流量处理和分析。Network Security Platform 特征码处理由流、协议分析和数据包搜
索组成的框架,以检测基于漏洞的 DoS 攻击和利用 DDoS 攻击工具的攻击。
流
简单说来,Network Security Platform 根据流的概念来确定 UDP 和 TCP 流量的地址。流是按它们的协议(UDP 或
TCP)、它们端点的来源和目标端口以及 IP 地址来定义的。UDP 不具有 TCP 所具有的“状态”的概念,因此 Sensor 对
UDP 流量实现了一个基于计时器的流环境。将流量分成流后,Sensor 利用端口映射或智能协议识别(如果流量运行在非
标准端口上),以将每个流传递给相应的协议分析机制。
值得注意的是,Network Security Platform 让您可以指定特征码是检查整个流、流的一个方向还是只检查流的一个数据
包内出现的数据。精确控制这种检测窗口对于准确检测攻击是非常必要的。
协议分析规范
协议规范(Network Security Platform 的协议分析机制)可分析网络流以验证通信量,并将其分成多个协议字段,然后使
用 Network Security Platform 提供的攻击或用户定义的特征码对各协议字段进行主动测试。通过将协议通信量分成相应
字段,Network Security Platform 可以对大多数特定字段或与某种有效攻击有关的子字段进行匹配,从而支持具有极低
误报率的特征码。由于分析过程是完全有状态的,它允许检测协议行为中的异常。此外,这种分析还能够以限定词的形
式向特征码编写者提供额外的好处。限定词是包含在特定协议字段名称中的测试。例如,您现在无需指定 HTTP 请求方
法必须是“GET”,Network Security Platform 系统允许使用“http‑get‑req‑uri”作为字段名称,从而不必在特征码中提供该
测试,而 Sensor 也不必再执行额外的模式匹配。
数据包搜索
未标识为属于任何特定协议的通信流将传递到数据包搜索协议规范引擎,以供进一步分析。Network Security Platform
向 Network Security Platform 定义的攻击和用户定义的特征码提供各个方向的通信流。针对数据包搜索流量的测试通常
会采用特定顺序的模式匹配的形式,以便防止出现误报和性能问题。
特征码适用的环境
特征码与流、协议分析和数据包搜索框架的一些元素结合使用才能从较小的构造块中获取网络流量的特定“指纹”。实际
上,特征码就像 DNA 测试。它们可以识别具体某个人以及这个人的亲属。对于入侵检测来说,亲属可能是针对某个软
件代码段的一组缓冲区溢出攻击,而这个人可能是特定的利用漏洞代码段。
由于这两者的区别不大,因此 Network Security Platform 采用一种惯例来区分基于异常的攻击特征码(不要与用于拒绝
服务攻击的基于异常的检测混淆)以及与特定攻击有关的特征码。主要的区别就是,基于异常的特征码检查网络中的非
预期或未确认行为,而与特定攻击有关的特征码则经常查看特定指示器,例如具有特定值的标志或特定字符串是否存在。
基于特征码的异常攻击知道正常通信量会有什么活动,而当它们发现其他活动时,它们就会被触发。一般攻击特征码都
会检测特定的不当行为。在定义攻击以检测和防御漏洞时,通常会定义一组混合特征码,以检查行为异常和特定利用漏
洞字符串。使用这种机制,所有可能的利用漏洞尝试都会被检测到。
352 McAfee ® Network Security Platform 7.0 IPS 管理手册