附錄3：ISA2006入侵檢測的部署與實(shí)現(xiàn)

ISA2006入侵檢測的部署與實(shí)現(xiàn)ISAServer支持的入侵檢測項目一般攻擊的入侵檢測DNS攻擊的入侵檢測Pop入侵檢測阻止包含IP選項的數(shù)據(jù)包和IP片段的數(shù)據(jù)包淹沒緩解一般攻擊的入侵檢測AllportsscanattackISAServer會檢測入侵者掃描端口（port）的行為，可以指定端口的數(shù)量，只要掃描的端口超過該閾值，則發(fā)出警報。一般攻擊的入侵檢測-2系統(tǒng)默認(rèn)自動開啟入侵檢測功能，并且能夠自動記錄入侵事件，進(jìn)而執(zhí)行相應(yīng)操作（如發(fā)送電子郵件或執(zhí)行指定程序等）一般攻擊的入侵檢測-3LandAttack：這種攻擊行為是入侵者將TCP數(shù)據(jù)包內(nèi)的源IP地址與端口改為欺騙的IP地址與端口，也就是說它會將源IP地址、端口都改為與目的地址相同的IP地址和端口，該類型的攻擊可能會導(dǎo)致系統(tǒng)死機(jī)。UDPbombattack：入侵者會發(fā)送非法的UDP數(shù)據(jù)包，導(dǎo)致某些系統(tǒng)死機(jī)。Windowsout-of-bandattack：一個被成為WinNuke的程序會發(fā)送out-of-band（OOB）數(shù)據(jù)包給被攻擊者的139端口，該攻擊將導(dǎo)致網(wǎng)絡(luò)阻塞或系統(tǒng)死機(jī)一般攻擊的入侵檢測-4常用端口：若常用端口（well-knownports）中超過10個被掃描，則視為攻擊行為?！?～2048TCP/UDP】所有端口：所有端口中，只要有超過20個端口被掃描，則視為攻擊行為。端口數(shù)目可以自行調(diào)整DNS攻擊的入侵檢測DNS主機(jī)名溢出（DNShostnameoverflow）查詢DNS主機(jī)名的響應(yīng)數(shù)據(jù)包內(nèi)，其主機(jī)名的字段有固定長度，而DNS主機(jī)名的溢出攻擊行為就是故意讓主機(jī)名超過此長度。DNS長度溢出（DNSlengthoverflow）查詢IP地址的DNS響應(yīng)數(shù)據(jù)包內(nèi)，有一個正常為4Bytes的長度字段，而DNS長度溢出的攻擊就是故意讓DNS響應(yīng)數(shù)據(jù)包超過長度，造成有些應(yīng)用程序在執(zhí)行DNS查詢時發(fā)生內(nèi)部緩沖區(qū)溢出的現(xiàn)象，讓入侵者有機(jī)會執(zhí)行攻擊程序代碼。DNS攻擊的入侵檢測-2DNS區(qū)域轉(zhuǎn)移（DNSZonetransfer）它是發(fā)生在DNS客戶端應(yīng)用程序與內(nèi)部DNS服務(wù)器執(zhí)行區(qū)域轉(zhuǎn)移操作的時候。內(nèi)部DNS服務(wù)器的區(qū)域內(nèi)一般都包含有內(nèi)部網(wǎng)絡(luò)的重要信息，不應(yīng)該被利用區(qū)域轉(zhuǎn)移的方式發(fā)送到外部POP入侵檢測POP入侵檢測：ISA的POP入侵檢測篩選器會攔截與分析送到內(nèi)部網(wǎng)絡(luò)的POP流量，來檢測是否有POP緩沖區(qū)溢出的攻擊行為【默認(rèn)自動開啟】阻止包含IP選項的數(shù)據(jù)包有些入侵行為是通過IP頭內(nèi)的IP選項來實(shí)現(xiàn)攻擊的，尤其是通過源路由（sourcerouting）選項來攻擊內(nèi)部網(wǎng)絡(luò)的計算機(jī)?？梢栽O(shè)置ISAServer拒絕包含此類IP選項的數(shù)據(jù)包。阻止IP片段的數(shù)據(jù)包概述：一個IP數(shù)據(jù)包可以被分解為多個較小的數(shù)據(jù)包進(jìn)行發(fā)送，這些較小的數(shù)據(jù)包稱之為IP片段（或分片）。當(dāng)目的計算機(jī)接收到這些IP片段之后，會根據(jù)數(shù)據(jù)包內(nèi)部的offset（間距）數(shù)據(jù)進(jìn)行重組。例如：正常的IP片段的offset數(shù)據(jù)為IP片段1：offset100–300IP片段2：offset301–600上述表示第一個IP片段占用原始數(shù)據(jù)包的第100至300的位置，而第二個IP片段占用原始數(shù)據(jù)包的第301至600的位置阻止IP片段的數(shù)據(jù)包-2IP片段的攻擊方式就是故意讓offset數(shù)據(jù)重疊例如：IP片段1：offset100–300IP片段2：offset200–400當(dāng)目地計算機(jī)收到數(shù)據(jù)后，無法進(jìn)行IP片段重組，因此可能導(dǎo)致計算機(jī)死機(jī)或重啟阻止IP片段的數(shù)據(jù)包-3注意事項1.啟用該功能后可能會干擾音頻/視頻流2.可能無法建立L2TP/IPSECVPN連接，因?yàn)閳?zhí)行證書