。

也可使用TCP/UDP报文对目标系统发起探测#xff08;如TCP

防御方法

检测进入防火墙的ICMP、TCP和UDP报文#xff0c;根…单包攻击类型介绍

一、扫描窥探攻击

运用ping程序探测目标地址确定目标系统是否存活。

也可使用TCP/UDP报文对目标系统发起探测如TCP

防御方法

检测进入防火墙的ICMP、TCP和UDP报文根据源IP地址获取统计表项的索引如果目的IP地址与前一报文的IP地址不同则将表项中的总报文个数增加1。

如果在一定时间内报文的个数达到设置的阑值记录日志并根据配置决定是否将源IP地址自动加入黑名单。

2、端口扫描攻击防范

Scan攻击通常使用一些软件向大范围主机的各个TCP/UDP端口发起连接根据应答报文判断主机是否使用这些端口提供服务。

防御方法

检测进入防火墙的TCP报文或UDP报文根据源IP地址获取统计表项的索引如果目的端口与前一报文不同将表项中的报文个数增1。

如果报文的个数超过设置的闯值记录日志并根据配置决定是否将源IP地址加入黑名单。

二、畸形报文攻击

Smurf攻击方法是发送ICMP请求该请求包的目标地址设置为受害网络的广播地址源地址为服务器地址。

该网络的所有主机都回应此ICMP请求回应报文全部发往服务器导致服务器不能正常提供服务。

防御方法

检查ICMP应答请求包的目的地址是否为子网广播地址或子网的网络地址如果是则直接拒绝并将攻击记录到日志。

2、LAND攻击防范

的源地址和目标地址都设置成某一个受害者的IP地址。

这将导致受害者向它自己的地址发送SYN-ACK消息结果这个地址又发回ACK消息并创建一个空连接占用系统资源或使目的主机崩溃。

防御方法

对每一个的IP报文进行检测若其源地址与目的地址相同或者源地址为环回地址127.0.0.1则直接拒绝并将攻击记录到日志。

3、Fraggle攻击防范

Fraggle类似于Smurf攻击使用UDP应答消息而非ICMP。

UDP端口7ECHO和端口19Chargen在收到UDP报文后会产生大量无用的应答报文占满网络带宽。

防御方法

检查进入防火墙的UDP报文若目的端口号为7或19则直接拒绝并将攻击记录到日志否则允许通过。

4、IP

IP报文中有几个字段与分片有关DF位、MF位、Fragment

offsetLength

。

如果上述字段的值出现矛盾而设备处理不当会对设备造成一定的影响甚至瘫痪。

防御方法

检查IP报文中与分片有关的字段DF位、MF位、片偏置量、总长度是否有以下矛盾若发现含有以下矛盾则丢弃。

将攻击记录到日志

Offset

为了获得访问权或隐藏入侵者的身份信息入侵者生成带有伪造源地址的报文并使用该伪造源地址访问攻击目标进行扫描、窥探等预备攻击。

防御方法

检测每个接口流入的IP报文的源地址与目的地址并对报文的源地址反查路由表入接口与以该IP地址为目的地址的最佳出接口不相同的IP报文被视为IP

一台主机X去访问Y正常路由器收到报文是根据目的路由去查路由表也就是路由表中查去往Y的路由不关心去往源X的启用了IP

Spoofing防护之后X去往Y的路由从Eth1口收到后不但会查路由表去往Y怎么走还会反向查询路由表去往X是否是从Eth1口学到如果X路由是从其他接口学到或者是根本没有X路由就会把这个访问干掉。

6、Ping

TCP报文包含6个标志位URG、ACK、PSH、RST、SYN、FIN

最经典的标志位ACK、RST、SYN、FIN不同的系统对这些标志位组合的应答是不同的可用于操作系统探测。

防御方法

检查TCP报文的各个标志位若出现以下任意一种情况直接丢弃该报0文并记录日志

6个标志位全为1或6个标志位全为0。

SYN和FIN位同时为1SYN和RST同时为1。

FIN和URQ同时为1RST和FIN同时为1。

8、Teardrop攻击

缓存分片信息每一个源地址、目的地址、分片ID相同的为一组最大支持缓存10000组分片信息。

9、WinNuke攻击范围

WinNuke攻击通常向装有Windows系统的特定目标的NetBIOS端口139发送000Bout-of-band数据包引起一个NetBIOS片断重叠致使已与其他主机建立连接的目标主机崩溃。

还有一种是IGMP分片报文一般情况下IGMP报文是不会分片的所以不少系统对IGMP分片报文的处理有问题。

防御方法

WinNuke攻击1检测数据包目的端口是否为139并且检查TCP-URG位是否被设0置。

WinNuke攻击2检测进入的IGMP报文是否为分片报文如果是分片报文则直接丢弃。

三、特殊报文攻击

超大ICMP报文攻击是指利用长度超大的ICMP报文对目标系统进行攻击。

对于有些系统在接收到超大ICMP报文后由于处理不当会造成系统崩溃、死机或重启。

防御方法

用户可以根据实际网络需要配置允许通过的ICMP报文的最大长度当实际ICMP报文的长度超过该值时防火墙认为发生了超大ICMP报文攻击将丢弃该报文。

攻击介绍

不同的系统对ICMP不可达报文的处理方式不同有的系统在收到网络或主机不可达的ICMP报文后对后续发往此目的地址的报文直接认为不可达从而切断了目的地与主机的连接。

攻击者利用这一点伪造不可达ICMP报文切断受害者与目的地的连接造成攻击。

防御方法

启动ICMP不可达报文攻击防范功能防火墙对ICMP不可达报文进行丢弃并记录攻击日志。

3、Tracert报文攻击防范

Tracert报文攻击是攻击者利用TTL为0时返回的ICMP超时报文和达到目的地址时返回的ICMP端口不可达报文来发现报文到达目的地所经过的路径它可以窥探网络的结构。

防御方法

对于检测到的超时的ICMP报文或UDP报文或者目的端口不可达的报文给予丢弃处理。

四、URPF

URPF技术单播逆向路径转发的简称其主要功能是防止基于源地址欺骗的网络攻击行为。

有两种模式

严格模式X访问Y路由器从ETH1口收到报文路由表可以查到Y的路由并且路由表反向查询也有X的路由并且X的路由也是通过入接口ETH1口学到的。

松散模式X访问Y路由器从ETH1口收到报文路由表可以查到Y的路由并且路由表反向查询也有X的路由。

2、URPF处理流程图

如果报文的源地址在USG的FIB表中存在。

如果报文的源地址在USG的FIB表中不存在则检查缺省路由及URPF的allow-default-route参数。