利用Netflow即時(shí)偵測(cè)蠕蟲(chóng)課件

利用Netflow即時(shí)偵測(cè)蠕蟲(chóng)攻擊報(bào)告人：王明輝報(bào)告日期：民國(guó)95年11月2日?qǐng)?bào)告大綱緒論Netflow技術(shù)簡(jiǎn)介研究架構(gòu)與方法實(shí)驗(yàn)結(jié)果與分析結(jié)論與未來(lái)研究方向研究動(dòng)機(jī)蠕蟲(chóng)攻擊日益增加蠕蟲(chóng)攻擊會(huì)影響網(wǎng)路效能第一隻引起網(wǎng)路癱瘓的蠕蟲(chóng)--CodeRedIPS阻擋蠕蟲(chóng)需要耗費(fèi)大量資源研究目的利用Netflow技術(shù)，發(fā)展一個(gè)快速即時(shí)的蠕蟲(chóng)偵測(cè)系統(tǒng)只使用少量的系統(tǒng)資源Netflow技術(shù)探討一個(gè)flow包含七個(gè)主要欄位：來(lái)源IP位址目的IP位址來(lái)源埠號(hào)目的埠號(hào)協(xié)定類型ToSByte值封包進(jìn)入Router的介面編號(hào)協(xié)定類型協(xié)定類型ValueProtocol1ICMP2IGMP6TCP9IGRP17UDP47GRE89OSPF115L2TPToS(TypeofService)ToS位元用途0-2Precedence30=NormalDelay,1=LowDelay40=NormalThroughput,1=HighThroughput50=NormalReliability,1=HighReliability6-7ReservedforFutureUse介面編號(hào)Netflow的運(yùn)作流程N(yùn)etflow封包格式Netflow封包HeaderNetflow記錄欄位欄位位置說(shuō)明srcaddr

0-3來(lái)源IP位址dstaddr

4-7目的IP位址nexthop

8-11下一站的路由器IP位址input12-13進(jìn)入Interface的SNMP編號(hào)output14-15出去Interface的SNMP編號(hào)dPkts

16-19Flow傳送的封包數(shù)dOctets

20-23Flow傳送的Byte數(shù)first24-27Flow的起始時(shí)間Netflow記錄欄位(Continued)欄位位置說(shuō)明last

28-31

Flow的結(jié)束時(shí)間srcport

32-33

Layer4協(xié)定的來(lái)源埠號(hào)

dstport

34-35Layer4協(xié)定的目的埠號(hào)

pad1

36

沒(méi)有使用到

tcp_flags37

一個(gè)flow中所有封包的TCP旗標(biāo)經(jīng)過(guò)OR運(yùn)算後的結(jié)果prot

38

第四層所使用的協(xié)定(6=TCP，17=UDP)Netflow記錄欄位(Continued)欄位位置說(shuō)明tos

39

IP的服務(wù)類型

(Typeofservice)

src_as40-41來(lái)源的ASnumberdst_as42-43目的的ASnumbersrc_mask44

來(lái)源位址的子網(wǎng)路遮罩dst_mask45目的位址的子網(wǎng)路遮罩pad246-47沒(méi)有用到Netflow的取樣機(jī)制Netflow的設(shè)定interfaceSerial0

進(jìn)入Serial0的介面設(shè)定

iproute-cacheflow

開(kāi)啟Serial0的flowcache功能interfaceFastEthernet0

進(jìn)入FastEthernet0的介面設(shè)定

iproute-cacheflow

開(kāi)啟FastEthernet0的flowcache功能ipflow-exportversion5

設(shè)定輸出的封包格式為version5ipflow-exportdestination163.18.17.109991

指定收集器的IP和埠號(hào)Netflow的運(yùn)作模式Netflow的運(yùn)作模式(Continued)Netflow的相關(guān)應(yīng)用網(wǎng)路應(yīng)用的分析IP計(jì)量與計(jì)費(fèi)網(wǎng)路規(guī)劃流量工程網(wǎng)路安全分析蠕蟲(chóng)病毒的基本結(jié)構(gòu)

傳播模組：負(fù)責(zé)蠕蟲(chóng)的傳播。隱藏模組：侵入主機(jī)後，隱藏蠕蟲(chóng)程序，防止被用戶發(fā)現(xiàn)。目的功能模組：實(shí)現(xiàn)對(duì)電腦的控制、監(jiān)視或破壞等功能。一般蠕蟲(chóng)程式的傳播步驟

(一)掃描：由蠕蟲(chóng)的掃描功能模組負(fù)責(zé)探測(cè)存在漏洞的主機(jī)。當(dāng)蠕蟲(chóng)向一個(gè)主機(jī)發(fā)送探測(cè)漏洞的封包，並成功收到回應(yīng)後，就得到一個(gè)可傳播的對(duì)象。(二)攻擊：攻擊模組按漏洞攻擊步驟自動(dòng)攻擊步驟(一)中找到的對(duì)象，取得該主機(jī)的權(quán)限。(三)複製：復(fù)製模組通過(guò)原主機(jī)和新主機(jī)的連線，將蠕蟲(chóng)程式複製到新主機(jī)並啟動(dòng)。蠕蟲(chóng)對(duì)網(wǎng)路的影響網(wǎng)路設(shè)備當(dāng)機(jī)(HighCPUUtilization)路由不穩(wěn)定NATTableFullRouteCacheFull異常流量分析ThresholdTcpFlag系統(tǒng)架構(gòu)系統(tǒng)運(yùn)作流程攻擊行為ICMP掃描TCPSYN掃描UDPFloodSYNFloodICMP掃描偵測(cè)TCPSYN掃描偵測(cè)TCPSYN掃描偵測(cè)改良UDPFlood掃描偵測(cè)UDPFlood掃描偵測(cè)(Cont.)SYNFlood掃描攻擊者正常伺服器來(lái)源

IP=亂數(shù)TCPSYN封包TCPSYN-ACK封包TCPSYN-ACK封包TCPSYN-ACK封包TCPSYN-ACK封包TCPSYN-ACK封包TCP