以太網(wǎng)中網(wǎng)絡(luò )掃描原理與檢測

2.6 FTP代理間接掃描

　　FTP協(xié)議支持代理(proxy)FTP連接,攻擊者可以通過(guò)FTP server-PI(協(xié)議解釋器)使源主機和目標主機建立控制通信連接。然后,請求該server-PI激活一個(gè)有效的server -DTP(即數據傳輸進(jìn)程)來(lái)給其他主機發(fā)送信息。因此,攻擊者可以用代理服務(wù)技術(shù)來(lái)掃描代理服務(wù)器所在網(wǎng)段主機的TCP端口。這樣,攻擊者就可以繞過(guò)防火墻,通過(guò)連接到防火墻內部的一個(gè)FTP服務(wù)器進(jìn)行端口掃描。該方法的優(yōu)點(diǎn)是很難被跟蹤,能穿過(guò)防火墻;其缺點(diǎn)是速度很慢。

2.7 UDP不可達掃描

　　該方法與前述方法的不同之處在于使用的是UDP協(xié)議。UDP協(xié)議對數據包的請求不回應,打開(kāi)的端口對掃描探測不發(fā)送確認,關(guān)閉的端口也不發(fā)送錯誤數據包。但是許多主機在用戶(hù)向一個(gè)未打開(kāi)的UDP端口發(fā)送數據包時(shí),會(huì )返回一個(gè)ICMP_PORT_UNREACH錯誤信息。這樣攻擊者就能判斷哪些端口是關(guān)閉的。UDP包和ICMP錯誤消息都不保證能到達。因此,在掃描時(shí)必須在探測包看似丟失時(shí)重傳。RFC793對ICMP錯誤消息的產(chǎn)生速率做了規定,因此,這種掃描方法很慢。

　　當非管理員用戶(hù)不能直接讀取端口且不能到達錯誤信息時(shí),Linux能間接地在它們到達時(shí)通知用戶(hù),如對一個(gè)關(guān)閉的端口的第2個(gè)write()調用將失敗;在非阻塞的UDP套接字上調用recvfrom()時(shí),如果ICMP出錯信息還沒(méi)有到達,則返回EAGAIN(重試),否則返回ECONNREFUSED(連接被拒絕)。

3 網(wǎng)絡(luò )掃描檢測的實(shí)現

　　因為網(wǎng)絡(luò )掃描首先需要對整個(gè)網(wǎng)絡(luò )掃描一遍,從而找到活動(dòng)主機(因為許多子網(wǎng)配置得很稀疏,所以大部分IP地址是空的),然后對每個(gè)活動(dòng)主機進(jìn)行窮盡式的端口掃描。因此可以設計一個(gè)網(wǎng)絡(luò )陷阱機來(lái)檢測網(wǎng)絡(luò )掃描。其原理與實(shí)現過(guò)程如下。

　　在網(wǎng)絡(luò )陷阱機上虛擬多個(gè)IP地址,這些地址與需重點(diǎn)保護的主機的IP地址相鄰,并且服務(wù)與開(kāi)放端口及需重點(diǎn)保護的主機相同。網(wǎng)絡(luò )陷阱機與交換機或路由器的映射端口(span port)相連,這樣連接就能采集到流經(jīng)整個(gè)網(wǎng)絡(luò )的數據。

3.1 數據包過(guò)濾

　　數據包過(guò)濾的主要目的是縮減數據。為了防止丟包,包過(guò)濾只做簡(jiǎn)單的基于包頭內容的過(guò)濾(如IP地址、TCP/IP端口、TCP標志位等),去除不關(guān)心的網(wǎng)絡(luò )數據包的數據而只留下其報頭,并將其結果存入指定數據庫。經(jīng)過(guò)包過(guò)濾之后的網(wǎng)絡(luò )包數據量將大大減少。包過(guò)濾規則的BNF范式描述如下:

　　例如,在以下規則中:“{12,4}=={16,4}20”,表示若從第12字節偏移處開(kāi)始的4個(gè)字節(源IP地址)等于從第16個(gè)字節偏移處開(kāi)始的4個(gè)字節(目的IP地址),則將包的前20字節獲取過(guò)來(lái),而拋棄包的其余內容。利用此語(yǔ)法定義的過(guò)濾規則簡(jiǎn)單且過(guò)濾條件基本上是簡(jiǎn)單的比較運算,適于計算機進(jìn)行高效快速地處理。

3.2 網(wǎng)絡(luò )掃描檢測

檢測程序對指定數據庫文件進(jìn)行分析。當源地址連續相同的IP請求連接記錄大于某一閥值時(shí),則認為此地址的用戶(hù)可能在掃描網(wǎng)絡(luò ),這時(shí)將此地址上報給執行程序。執行程序通過(guò)對可疑IP地址某一時(shí)間段內的所有記錄進(jìn)行分析,來(lái)發(fā)現網(wǎng)絡(luò )掃描。例如若發(fā)現可疑IP對其他主機進(jìn)行了窮盡式的端口連接,則認為該IP地址用戶(hù)在進(jìn)行網(wǎng)絡(luò )掃描。

但是隱蔽掃描的IP地址很可能是偽裝的,且掃描時(shí)間也可能不連續,因此用上面的方法不一定能檢測到隱蔽掃描。

　　網(wǎng)絡(luò )掃描的目的是要發(fā)現網(wǎng)絡(luò )中活動(dòng)主機并找出其安全漏洞,因此服務(wù)與端口開(kāi)放較多的重點(diǎn)保護主機是掃描者的重點(diǎn)對象。檢測程序對指定數據庫文件進(jìn)行分析,比較受保護主機的請求連接和網(wǎng)絡(luò )陷阱機與之相近IP地址的請求連接,如在某時(shí)間段內的非常用連接相近,則認為此地址的主機可能被掃描。將此地址上報給執行程序,執行程序對可疑主機IP地址某一時(shí)間段內的所有記錄進(jìn)行分析,如發(fā)現有窮盡式的端口連接,則認為該主機被網(wǎng)絡(luò )掃描。

4 結束語(yǔ)

　　網(wǎng)絡(luò )掃描是一把雙刃劍。網(wǎng)絡(luò )管理員通過(guò)網(wǎng)絡(luò )掃描能檢測網(wǎng)絡(luò )中主機存在的漏洞,從而查漏補缺,使得網(wǎng)絡(luò )運行更為安全可靠。然而現在網(wǎng)絡(luò )掃描技術(shù)的發(fā)展,特別是黑客的積極參與使得網(wǎng)絡(luò )掃描技術(shù)成為一種危害網(wǎng)絡(luò )安全的行為。只有對網(wǎng)絡(luò )掃描進(jìn)行有效監控,才能更有效地保護網(wǎng)絡(luò ),將網(wǎng)絡(luò )優(yōu)勢發(fā)揮出來(lái)。