Network Security Platform 7.0 IPS Administration Guide - McAfee

7
拒绝服务
Network Security Platform 用于应对 DoS 攻击的方法
在每个来源 IP 配置文件中,整个 IP 地址空间被划分为最多 128 个互斥的 IP 地址块(即 Bin),这与 CIDR 寻址方法对地
址空间的划分方式几乎一样。每个 Bin 都由一个前缀(长度在 2 位到 32 位之间)来唯一标识。如果 IP 地址的前 n 位符
合 Bin 的前缀,则该地址属于该 Bin。然后,Sensor 会将每个来源 IP 与相应配置文件中的特定 Bin 相关联。
每个 Bin 具有以下两个属性:
• 源自属于此 Bin 的来源 IP 的长期(正常)流量百分比。
• 此 Bin 中 IP 范围所占用的整个 IP 地址空间的百分比。
对来源 IP 正确分类后,Sensor 现在可以保护网络免受 DoS 攻击。如果出现统计异常,Sensor 将在相关来源 IP 配置文
件中采取以下操作:
• Sensor 阻止具有以下 Bin 中来源 IP 的所有数据包:这些 Bin 占用较大百分比的 IP 空间,但只代表较小百分比的长
期流量。这便可以对付生成有大量随机、范围广、虚假来源 IP 地址的攻击。
• Sensor 阻止具有以下 Bin 中来源 IP 的所有数据包:这些 Bin 占用较大百分比的短期流量,并且在短期出现比历史
平均水平高得多的流量百分比。这便可以对付从一些具有真正来源 IP 地址的网络发动的攻击。
• Sensor 不会阻止具有以下 Bin 中来源 IP 的数据包:这些 Bin 占用较小百分比的 IP 空间,但代表较大百分比的长期
流量。这将防止阻止已知没问题的主机。
第三条标准的例外情况是当流量同样也符合第二条标准的情况。换句话说,如果正常 Bin 的短期流量水平明显高于其峰
值长期水平,则将阻止来自这些 Bin 的来源 IP。这便可以对付从最近刚被损坏的正常主机发动的攻击。
来源 IP 分类比使用可限制网络上 SYN 数据包速率的设备(如防火墙)阻止 DoS 攻击更为有效。这种方法与 Network
Security Platform 的主要区别在于速率限制设备会随机阻止流量。正常流量与攻击流量受到阻止的几率是相同的。另一
方面,Network Security Platform 会使用来源 IP 分类来尝试区分正常流量与攻击流量,因此攻击流量更有可能被阻止。
由 Network Security Platform 处理的攻击
由 Network Security Platform 处理的攻击
Network Security Platform 通过运用与 Network Security Platform 特征码、阈值和学习相关的方法组合,来处理不同类
型的 DoS 攻击。
解决基于量的 DoS 攻击
DoS 攻击常发生于防火墙或 DMZ 内,尤其是 DMZ Web 和邮件服务器。Network Security Platform 提供了两种解决基
于量的 DoS 的方法。
第一种是基于阈值的模式。在该模式中,Sensor 监控超过所配置的阈值的流量。第二种方法是基于学习的模式。在该模
式中,Sensor 学习长期的正常行为,并将其与短期所观察到的行为进行比较。
将阈值和学习方法结合起来能显著提高检测结果的可靠性。
解决基于漏洞的 DoS 攻击
要阻止基于漏洞的 DoS 攻击,Sensor 会尝试捕获攻击行为所表现出的特征,并根据每个特征码采取特定的对策(如果配
置了对策)。对于具有众所周知特征码的已知攻击,此方法非常有效。例如,Network Security Platform 的检测机制可
以让您的特征码识别出每个 HTTP 通信流,每个使用 GET 机制的 HTTP 通信流、每个使用 GET 机制且路径为 /cgi‑bin/
calendar.pl 的 HTTP 通信流,甚至识别出每个使用该路径、同时具有一个值为 February 的 month 参数的 GET。
Network Security Platform 能够支持每个攻击中包含多个特征码。攻击中的每个特征码都可以很具体,也可以不太具体,
从而可以识别所有事件,从能够以特定方式影响给定平台的一般网络活动到具有特定和可识别影响的特定代码段。根据
其特点和严重性,特征码会被分配不同的可信度和严重性值。
当出现匹配现有 Network Security Platform 攻击的网络事件时,该攻击中的一些特征码(一般和具体)可能会被触发。
如果启用了警报合并,Network Security Platform Sensor 会自动关联多个触发的事件,以生成具有最高可信度级别的警
报。
354 McAfee ® Network Security Platform 7.0 IPS 管理手册