Network Security Platform 7.0 IPS Administration Guide - McAfee

表 3-2 (续)
类别 描述
Sensitive Content(敏
感内容)
Shellcode Execution
(Shellcode 执行)
Statistical Deviation
(统计偏差)
所有内容关键字匹配,它们被认为在传输敏感信息,例如标有“Company Confidential(公司机
密)”字样的文档。
这类警报指示最严重的缓冲区溢出攻击,也就是载有 Shellcode 负载的缓冲区溢出攻击。
Shellcode 是可执行代码的泛称,它在目标系统上被成功执行后,将修改目标系统的配置或执行
恶意行为。
指示检测到特定流量测量的数据包速率发生明显变化。例如,如果在正常的通信流中,TCP
SYN 数据包占流量的 23‑28%,当短期内测量到的 TCP SYN 流量达到 40% 就表示受到 DoS
攻击。
Unassigned(未指定) 此类别表示 Network Security Platform 环境中已知子类别范围之外的攻击。例如,如果攻击者
随 Van Eck 设备出现,并开始发起猛烈攻击,就会用“未分配”来描述类别。
Unauthorized IP(未
授权 IP)
含有未获受保护网络访问权限的 IP 地址的任何流量活动。
Virus(病毒) 与特定病毒有关的任何网络事件或负载。恶意病毒会给它的攻击目标造成各种损坏,涉及范围
包括窃取或毁坏资料信息一直到安装后门进程。不过,病毒需要依赖其他载体(如电子邮件)在
网络间传播。
Volume DoS(大量
DoS)
大量流量,从应用内容的角度来看,这些流量可能完全有效,但它们会完全淹没通向目标系统
路径中的处理元素(包括交换机、路由器、防火墙和目标服务器等),这会对其他合法流量造
成 DoS 影响。
Worm(蠕虫) 与特定蠕虫活动有关的任何网络事件或负载。恶意蠕虫会给它的攻击目标造成各种损坏,涉及
范围包括窃取或毁坏资料信息一直到安装后门进程。蠕虫与病毒的不同之处在于它本身可以通
过网络传播。
Write Exposure(写暴
露)
Arbitrary Command
execution(任意命令
执行)
Code Execution(代码
执行)
如果攻击成功,表示数据库的完整性和/或真实性已被破坏。例如,创建、删除和修改了系统配
置或用户密码文件。出现写暴露警报时,经常会有更为严重的间接影响,例如添加非法用户帐
户记录破坏访问控制。
攻击者可以执行系统命令和脚本(例如获取系统上列出的目录),从而窃取和毁坏数据。可以访
问用户系统的攻击者可能会利用漏洞并安装恶意软件,然后利用此系统对其他系统发动攻击。
恶意用户可用于危害用户系统的漏洞。攻击者可以在用户系统上执行恶意程序或代码。
成功利用漏洞的攻击者可以执行任意代码,并可能完全控制受影响的系统。攻击者可以使用提
升权限运行代码。
如果用户以管理用户权限登录,则成功利用此漏洞的攻击者可以完全控制受影响的系统。然后,
攻击者可以安装程序;查看、更改或删除数据;或者使用完全用户权限创建新帐户。在系统上
配置为具有较少用户权限的帐户,其用户受到的影响小于使用管理员用户权限进行操作的用户。
Bot 指一组运行或执行程序的计算机,该程序允许攻击者远程控制系统,并使用户执行类似 DOS
的命令。在 IRC 通道中
Service‑sweep(服务
扫描)
执行这些命令。
如何管理 IPS 设置
如何配置和管理策略 3
Bot 是一种恶意软件,该软件允许攻击者获取对受影响计算机的完全控制权限。被 Bot 感染的
计算机通常被称为“傀儡”。攻击者可以访问“傀儡”PC 的列表并激活这些列表,以帮助对网站执
行 DoS(拒绝服务)攻击、驻留网络钓鱼攻击网站或发送大量垃圾邮件。
Bot 蠕虫是驻留在当前内存 (RAM) 中的自我复制的恶意软件程序,使受感染的计算机成为“傀
儡”(或 Bot),并将自身传输到其他计算机。创建 Bot 蠕虫的最终目的是创建 Botnet,Botnet 可
以用作传播病毒、特洛伊木马和垃圾邮件的载体。
一种警报,表示对网络或子网上的服务进行客户端扫描,从而导致损坏增加的带宽并增加网络
流量。此警报通常由 P2P 客户端生成。“Service Sweep(服务扫描)”用于尝试确定是否在一系
列计算机上运行某个服务。黑客将选择一个端口(通常为 25‑SMTP、80‑HTTP 或
139‑NetBIOS SSN)和 IP 地址的范围。
“Ping Sweep(Ping 扫描)”用于尝试找出网络中处于启动状态并做出响应的计算机。
在跟踪中检测这些计算机的最简单方法是查找 ARP 数据包。因此,应创建一个过滤器来查找
ARP 请求。
McAfee ® Network Security Platform 7.0 IPS 管理手册 37