計算機網路對付主動攻擊方法

Ⅰ 網路攻擊和防禦分別包括哪些內容

一、網路攻擊主要包括以下幾個方面：

1、網路監聽：自己不主動去攻擊別人，而是在計算機上設置一個程序去監聽目標計算機與其他計算機通信的數據。 

2、網路掃描：利用程序去掃描目標計算機開放的埠等，目的是發現漏洞，為入侵該計算機做准備。

3、網路入侵：當探測發現對方存在漏洞後，入侵到目標計算機獲取信息。

4、網路後門：成功入侵目標計算機後，為了實現對「戰利品」的長期控制，在目標計算機中種植木馬等後門。

5、網路隱身：入侵完畢退出目標計算機後，將自己入侵的痕跡清除，從而防止被對方管理員發現。

二、網路防禦技術主要包括以下幾個方面：

1、安全操作系統和操作系統的安全配置：操作系統是網路安全的關鍵。

2、加密技術：為了防止被監聽和數據被盜取，將所有的數據進行加密。

3、防火牆技術：利用防火牆，對傳輸的數據進行限制，從而防止被入侵。

4、入侵檢測：如果網路防線最終被攻破，需要及時發出被入侵的警報。

5、網路安全協議：保證傳輸的數據不被截獲和監聽。

(1)計算機網路對付主動攻擊方法擴展閱讀：

防範DDos攻擊

1、及時地給系統打補丁，設置正確的安全策略；

2、定期檢查系統安全：檢查是否被安裝了DDoS攻擊程序，是否存在後門等；

3、建立資源分配模型，設置閾值，統計敏感資源的使用情況；

4、優化路由器配置；

5、由於攻擊者掩蓋行蹤的手段不斷加強，很難在系統級的日誌文件中尋找到蛛絲馬跡。因此，第三方的日誌分析系統能夠幫助管理員更容易地保留線索，順藤摸瓜，將肇事者繩之以法；

6、使用DNS來跟蹤匿名攻擊；

7、對於重要的WEB伺服器，為一個域名建立多個鏡像主機。

Ⅱ 第七章、網路安全

1）被動式攻擊

2）主動式攻擊
幾種常見的方式：
① 篡改：
攻擊者篡改網路上傳送的報文，比如，徹底中斷，偽造報文；

② 惡意程序：包含的種類有：

③ 拒絕服務（DoS，Denial of Service）
攻擊者向互聯網上的某個伺服器不停地發送大量分組，使該伺服器無法提供正常服務，甚至完全癱瘓。

④ 交換機攻擊
攻擊者向乙太網交換機發送大量偽造源 MAC地址的幀，交換機收到MAC地址後，進行學習並記錄，造成交換表很快被填滿，無法正常工作。

人們一直希望能夠設計出一種安全的計算機網路，但不幸的是，網路的安全性是不可判定的，只能針對具體的攻擊設計安全的通信協議。

計算機網路安全的四個目標
1）保密性：要求只有信息的 發送方 和 接收方 才能懂得所發送信息的內容，而信息的截獲者則看不懂所截獲的內容。以此，對付 被動攻擊 ；
2）端點鑒別：要求計算機網路必須能夠 鑒別 信息的 發送方 和 接收方 的真實身份。對付 主動攻擊 ；
3）信息的完整性：要求信息的內容沒有被人篡改過；
4）運行的安全性：要求計算機系統運行時的安全性。 訪問控制 是一種應對方法。對付 惡意程序 和 拒絕服務攻擊 。

發送者向接受者發送明文 P，通過加密演算法運算，得到密文 C。接收端通過解密演算法解密，得到明文P。

如果不論截取者獲得多少密文，但在密文中都沒有足夠的信息來唯一的確定出對應的明文，則這一密碼體制稱為 無條件安全的 ，或成為 理論上是不可破的 。

在無任何限制的條件下，目前幾乎所有的密碼體制均是可破的。

人們關心的是研製出 在計算機上（而不是理論上）是不可破的密碼體制 。如果一個密碼體制中的密碼，不能在一定時間內被可以使用的計算機資源破譯，那麼這一密碼體制稱為 在計算上是安全的 。

2）發展史

對稱密碼體制，也就是， 加密密鑰 與 解密密鑰 使用相同的密碼體制。
1）數據加密標准（DES）
屬於對稱密鑰密碼體制。1977年，由 IBM公司提出，被美國定位聯邦信息標准，ISO 曾將 DES 作為數據加密標准。

2）高級加密標准（AES）

1976年，由斯坦福大學提出，使用不同的 加密密鑰 和 解密密鑰 ；
1）公鑰密碼出現的原因
① 對稱密鑰密碼體制的密鑰分配問題；
② 對數字簽名的需求。

2）對稱密碼的挑戰
對稱密碼體制中，加密/解密的雙方使用的是 相同的密鑰 。
那麼，如何讓雙方安全的擁有相同的密鑰？
① 事先約定：給密鑰管理和更換帶來極大的不便；
② 信使傳送：不該用於高度自動化的大型計算機系統；
③ 高度安全的密鑰分配中心：網路成本增加；

3）三種公鑰
① RSA 體制：1978年正式發表，基於數論中的大數分解問題的體制；

4）差異：

公鑰加密演算法開銷較大，並不會取代傳統加密演算法。

5）密碼性質
任何加密演算法的安全性取決於密鑰的長度，以及攻破密文所需的計算量。

書信或文件是根據親筆簽名或印章來證明其真實性的。（偽造印章，要坐牢）

1）核實：接受者能夠核實發送者對報文的簽名，也就是，確定報文是否是發送者發送的；
2）無篡改：接受者確信所收到的數據和發送者發送的完全一樣，沒有被篡改過。稱為 報文的完整性 。
3）不可否認：發送這時候不能抵賴對報文的簽名，叫 不可否認 。

1）A用其私鑰對報文進行D運算，獲得密文；
2）接收方，通過A的公鑰解密，核實報文是否是A發送的。

1）核實保證：只有A有私鑰，加密有唯一性；
2）無篡改：篡改後，無A的私鑰，無法加密；
3）不可否認：其他人無A的私鑰；
疑問：是否利用產生一個A的公鑰可以解密的私鑰，就可以冒充A？

上述操作，對數據進行了簽名，但是，沒有對數據進行加密。所有，擁有公鑰的人都可以破解。

1）具有保密性的數字簽名：
① 發送方，利用A的私鑰對數據進行簽名；
② 發送方，利用B的公鑰對數據進行加密；
③ 接收方，利用B的私鑰對數據進行解密；
④接收方，利用A的公鑰對數據進行鑒權。

鑒別 是要驗證通信的雙方確實是自己所要通信的對象，而不是其他的冒充者。
並且，所傳送的報文是完整的、沒有被他人篡改過。

0）動機
① 數字簽名：就是一種**報文鑒別技術；
② 缺陷：對較長的報文進行數字簽名會給計算機增加非常大的負擔，因此這就需要進行較多的時間來進行計算；
③ 需求：一種相對簡單的方法對報文進行鑒別；
④ 解決辦法：密碼散列函數；

1）密碼散列函數
作用：保護明文的完整性；
① 散列函數 的特點：

② 密碼散列函數 的特點：

2）實用的密碼散列函數：MD5 和 SHA-1
① MD5

② SHA
美國技術標准協會 NIST 提出 SHA 散列演算法。

3）報文鑒別碼
① 散列函數的缺點：可能被其他人篡改，然後，計算相應的正確散列值；
② 報文鑒別碼：生成報文的散列後，對散列進行加密生成報文鑒別碼；

1）差別

2）鑒別方法
A向遠端的B發送帶有自己身份A和口令的報文，並使用雙方約定好的共享對稱密鑰進行加密；

3）存在的問題
可能攻擊者處於中間人，冒充A向B發送口令，並發送公鑰，最後，成功冒充A，獲取A的重要數據；

4）總結
重要問題：公鑰的分配，以及公鑰的真實性。

密碼演算法是公開的，網路安全完全基於密鑰，因此 密鑰管理 十分重要；包括：

1）挑戰
① 密鑰數量龐大：n個人相互通信，需要的密鑰數量 n(n-1)；
② 安全通信：如何讓通信雙方安全得到共享密鑰；

2）解決方案
密鑰分配中心：公共信任的機構，負責給需要秘密通信的用戶臨時分配一個會話密鑰（使用一次）；

3）處理過程
① 用戶 A 發送明文給蜜月分配中心 KDC，說明想和用戶 B通信。
② KDC 隨機產生 「一次一密」 的會話密鑰KAB，然後，用KA加密發送給A 密鑰KAB和票據。
③ B收到A轉來的票據，並根據自己的密鑰KB解密後，就知道A要和他通信，並知道會話密鑰KAB。

4）

這一系統現在已廣泛用於電子護照中，也就是下一代金融系統使用的加密系統。

移動通信帶來的廣泛應用，向網路提出了更高的要求。

量子計算機的到來將使得目前許多使用中的密碼技術無效，後兩字密碼學的研究方興未艾。

Ⅲ 簡述計算機安全的三種類型

1、實體安全

計算機系統實體是指計算機系統的硬體部分，應包括計算機本身的硬體和各種介面、各種相應的外部設備、計算機網路的通訊設備、線路和信道等。

而計算機實體安全是指為了保證計算機信息系統安全可靠運行，確保在對信息進行採集、處理、傳輸和存儲過程中，不致受到人為或自然因素的危害，而使信息丟失、泄密或破壞，對計算機設備、設施(包括機房建築、供電、空調等)、環境、人員等採取適當的安全措施。

是防止對信息威脅和攻擊的第一步，也是防止對信息威脅和攻擊的天然屏障，是基礎。主要包括以下內容：

環境安全。主要是對計算機信息系統所在環境的區域保護和災難保護。要求計算機場地要有防火、防水、防盜措施和設施，有攔截、屏蔽、均壓分流、接地防雷等設施;有防靜電、防塵設備，溫度、濕度和潔凈度在一定的控制范圍等等。

設備安全。主要是對計算機信息系統設備的安全保護，包括設備的防毀、防盜、防止電磁信號輻射泄漏、防止線路截獲;對UPS、存儲器和外部設備的保護等。

媒體安全。主要包括媒體數據的安全及媒體本身的安全。目的是保護媒體數據的安全刪除和媒體的安全銷毀，防止媒體實體被盜、防毀和防霉等。

2、運行安全

系統的運行安全是計算機信息系統安全的重要環節，因為只有計算機信息系統的運行過程中的安全得到保證，才能完成對信息的正確處理，達到發揮系統各項功能的目的。包括系統風險管理、審計跟蹤、備份與恢復、應急處理四個方面內容。

風險分析是指用於威脅發生的可能性以及系統易於受到攻擊的脆弱性而引起的潛在損失步驟，是風險管理程序的基礎，其最終目的是幫助選擇安全防護並將風險降低到可接受的程度。

計算機信息系統在設計前和運行前需要進行靜態分析，旨在發現系統的潛在安全隱患;其次對系統進行動態分析，即在系統運行過程中測試，跟蹤並記錄其活動，旨在發現系統運行期的安全漏洞;最後是系統運行後的分析，並提供相應的系統脆弱性分析報告。

常見的風險有後門/陷阱門、犯大錯誤、拒絕使用、無法使用、偽造、故意對程序或數據破壞、邏輯炸彈、錯誤傳遞、計算機病毒和超級處理等。常見分析工具有自動風險評估系統ARESH、Bayesian判決輔助系統、Livermore風險分析法等。

審計跟蹤是利用對計算機信息系統審計的方法，對計算機信息系統工作過程進行詳盡的審計跟蹤，記錄和跟蹤各種系統狀態的變化，如用戶使用系統的時間和日期及操作，對程序和文件的使用監控等，以保存、維護和管理審計日誌，實現對各種安全事故的定位。

也是一種保證計算機信息系統運行安全的常用且有效的技術手段。

備份與恢復是對重要的系統文件、數據進行備份，且備份放在異處，甚至對重要設備也有備份，以確保在系統崩潰或數據丟失後能及時准確進行恢復，保障信息處理操作仍能進行。可採取磁碟鏡像、磁碟冗餘陣列等技術。

應急處理主要是在計算機信息系統受到損害、系統崩潰或發生災難事件時，應有完善可行的應急計劃和快速恢復實施應急措施，基本做到反應緊急、備份完備和恢復及時，使系統能正常運行，以盡可能減少由此而產生的損失。

3、信息安全

計算機信息系統的信息安全是核心，是指防止信息財產被故意或偶然的泄漏、更改、破壞或使信息被非法系統辨識、控制，確保信息的保密性、完整性、可用性和可控性。針對計算機信息系統中的信息存在形式和運行特點，信息安全可分為操作系統安全、資料庫安全、網路安全、病毒防護、訪問控制和加密。

操作系統安全。是指操作系統對計算機信息系統的硬體和軟體資源進行有效控制，對程序執行期間使用資源的合法性進行檢查，利用對程序和數據的讀、寫管理，防止因蓄意破壞或意外事故對信息造成的威脅，從而達到保護信息的完整性、可用性和保密性。

操作系統安全可通過用戶認證、隔離、存取控制及完整性等幾種方法來實現。用戶認證就是系統有一個對用戶識別的方法，通過用戶名和口令實現，口令機制有口令字、IC卡控制、指紋鑒別和視網膜鑒別等。

隔離技術是在電子數據處理成份的周圍建立屏障，以使該環境中實施存取規則，可通過物理隔離、時間隔離、邏輯隔離和密碼技術隔離來實現。

存取控制是對程序執行期間訪問資源的合法性進行檢查，並通過控制對數據和程序的讀、寫、修改、刪除和執行等操作進行保護，防止因事故和有意破壞造成對信息的威脅。系統完整性涉及到程序和數據兩方面，程序完整性要在整個程序設計活動中嚴格控制;數據完整性由錯誤控制進行保護。

資料庫安全。資料庫系統中的數據的安全性包括:完整性——只有授權用戶才能修改信息，不允許用戶對信息進行非法修改;可用性——當授權用戶存取其有權使用的信息時，資料庫系統一定能提供這些信息;保密性——只有授權用戶才能存取信息。

實現資料庫安全可通過用戶認證、身份鑒別、訪問控制和資料庫內外加密等方法來實現。用戶認證通過在操作系統用戶認證基礎上，要求用戶對通行字、日期和時間檢查認證。身份鑒別是資料庫系統具備的獨立的用戶身份鑒別機制。

訪問機制，運用安全級元素的確定、視圖技術等方法，確保用戶僅能訪問已授權的數據，並可保證同一組數據的不同用戶被授予不同訪問許可權。

資料庫外加密是操作系統完成的，如採用文件加密方法等，把數據形成存儲塊送入資料庫；資料庫內加密是對資料庫以數據元素、域或記錄形式加密，常用加密方法有DES加密、子密鑰資料庫加密和秘密同態加密技術等。

訪問控制。是系統安全機制的核心，對處理狀態下的信息進行保護，對所有直接存取活動進行授權;同時，對程序執行期間訪問資源的合法性進行檢查，控制對數據和程序的讀、寫、修改、刪除、執行等操作，防止因事故和有意破壞對信息的威脅，主要包括授權、確定存取許可權和實施許可權三個內容。

通過最小授權、存取權分離、實體許可權的時效性和對存取訪問的監督檢查、訪問控製表、訪問控制矩陣和能力表等方法來實現。

密碼技術。計算機數據信息的加密基本上屬於通信加密的類型，但又不同於一般的通信保密技術，被加密的明文往往是程序或其他處理的原始數據或是運行結果，而形成的密文是靜態的，一般不是執行中的程序，僅用以存儲或作為通信輸出。

一般密碼系統包括明文、密文、加密、解密和密鑰五部分，常見密碼加密有換位加密、矩陣移位加密、定長置換加密、替代密碼和DES加密、RAS加密、PKI和MD5等演算法。

計算機網路安全。在計算機網路中傳遞的信息普遍面臨著主動攻擊的危害，主動攻擊中最主要的方法就是對信息進行修改，比如對信息的內容進行更改、刪除、添加；改變信息的源或目的地；改變報文分組的順序或將同一報文反復;篡改回執等。

而在計算機網路信息系統中，信息的交換是其存在的基礎。而從安全形度上考慮，就必須保證這些交換過程的安全和內容的有效性及合法性。對於網路安全的實用技術有:身份驗證；報文驗證；數字簽名；防火牆。

計算機病毒。計算機病毒是指編制或者在計算機程序中插入的破壞計算機功能或者毀壞數據，影響計算機使用，並能自我復制的一組計算機指令或程序代碼。其本質是一種具有自我復制能力的程序，具有復制性、傳播性和破壞性。

計算機病毒不同於生物醫學上的「病毒」，計算機病毒不是天然存在的，是人故意編制的一種特殊的計算機程序。計算機病毒對信息系統有極大的危害性，輕者可以增加系統開銷，降低系統工作效率;重者可使程序、數據丟失，甚至系統崩潰，無法工作，更甚者造成計算機主板毀壞，如CIH病毒等。

(3)計算機網路對付主動攻擊方法擴展閱讀

常用防護策略

1、安裝殺毒軟體

對於一般用戶而言，首先要做的就是為電腦安裝一套殺毒軟體，並定期升級所安裝的殺毒軟體，打開殺毒軟體的實時監控程序。

2、安裝個人防火牆

安裝個人防火牆（Fire Wall）以抵禦黑客的襲擊，最大限度地阻止網路中的黑客來訪問你的計算機，防止他們更改、拷貝、毀壞你的重要信息。防火牆在安裝後要根據需求進行詳細配置。

3、分類設置密碼並使密碼設置盡可能復雜

在不同的場合使用不同的密碼，如網上銀行、E-Mail、聊天室以及一些網站的會員等。應盡可能使用不同的密碼，以免因一個密碼泄露導致所有資料外泄。對於重要的密碼（如網上銀行的密碼）一定要單獨設置，並且不要與其他密碼相同。

設置密碼時要盡量避免使用有意義的英文單詞、姓名縮寫以及生日、電話號碼等容易泄露的字元作為密碼，最好採用字元、數字和特殊符號混合的密碼。建議定期地修改自己的密碼，這樣可以確保即使原密碼泄露，也能將損失減小到最少。

4、不下載不明軟體及程序

應選擇信譽較好的下載網站下載軟體，將下載的軟體及程序集中放在非引導分區的某個目錄，在使用前最好用殺毒軟體查殺病毒。

不要打開來歷不明的電子郵件及其附件，以免遭受病毒郵件的侵害，這些病毒郵件通常都會以帶有噱頭的標題來吸引你打開其附件，如果下載或運行了它的附件，就會受到感染。同樣也不要接收和打開來歷不明的QQ、微信等發過來的文件。

5、防範流氓軟體

對將要在計算機上安裝的共享軟體進行甄別選擇，在安裝共享軟體時，應該仔細閱讀各個步驟出現的協議條款，特別留意那些有關安裝其他軟體行為的語句。

6、僅在必要時共享

一般情況下不要設置文件夾共享，如果共享文件則應該設置密碼，一旦不需要共享時立即關閉。共享時訪問類型一般應該設為只讀，不要將整個分區設定為共享。

7、定期備份

數據備份的重要性毋庸諱言，無論你的防範措施做得多麼嚴密，也無法完全防止「道高一尺，魔高一丈」的情況出現。如果遭到致命的攻擊，操作系統和應用軟體可以重裝，而重要的數據就只能靠你日常的備份了。所以，無論你採取了多麼嚴密的防範措施，也不要忘了隨時備份你的重要數據，做到有備無患！

計算機安全管理制度

為加強組織企事業單位計算機安全管理，保障計算機系統的正常運行，發揮辦公自動化的效益，保證工作正常實施，確保涉密信息安全，一般需要指定專人負責機房管理，並結合本單位實際情況，制定計算機安全管理制度，提供參考如下：

1、計算機管理實行「誰使用誰負責」的原則。愛護機器，了解並熟悉機器性能，及時檢查或清潔計算機及相關外設。

2、掌握工作軟體、辦公軟體和網路使用的一般知識。

3、無特殊工作要求，各項工作須在內網進行。存儲在存儲介質（優盤、光碟、硬碟、移動硬碟）上的工作內容管理、銷毀要符合保密要求，嚴防外泄。

4、不得在外網或互聯網、內網上處理涉密信息，涉密信息只能在單獨的計算機上操作。

5、涉及到計算機用戶名、口令密碼、硬體加密的要注意保密，嚴禁外泄，密碼設置要合理。

6、有無線互聯功能的計算機不得接入內網，不得操作、存儲機密文件、工作秘密文件。

7、非內部計算機不得接入內網。

8、遵守國家頒布的有關互聯網使用的管理規定，嚴禁登陸非法網站；嚴禁在上班時間上網聊天、玩游戲、看電影、炒股等。

9、堅持「安全第一、預防為主」的方針，加強計算機安全教育，增強員工的安全意識和自覺性。計算機進行經常性的病毒檢查，計算機操作人員發現計算機感染病毒，應立即中斷運行，並及時消除。確保計算機的安全管理工作。

10、下班後及時關機，並切斷電源。

Ⅳ 網路攻擊的種類分為哪幾種

01 網路攻擊分為主動攻擊和被動攻擊。主動攻擊會導致某些數據流的篡改和虛假數據流的產生。這類攻擊可分為篡改、偽造消息數據和終端。被動攻擊中攻擊者不對數據信息做任何修改，截取/竊聽是指在未經用戶同意和認可的情況下攻擊者獲得了信息或相關數據。通常包括竊聽、流量分析、破解弱加密的數據流等攻擊方式。

主動攻擊包括篡改消息、偽造、拒絕服務。

篡改消息是指一個合法消息的某些部分被改變、刪除，消息被延遲或改變順序，通常用以產生一個未授權的效果。如修改傳輸消息中的數據，將“允許甲執行操作”改為“允許乙執行操作”。

偽造指的是某個實體（人或系統）發出含有其他實體身份信息的數據信息，假扮成其他實體，從而以欺騙方式獲取一些合法用戶的權利和特權。

拒絕服務即常說的DoS（Deny of Service），會導致對通訊設備正常使用或管理被無條件地中斷。通常是對整個網路實施破壞，以達到降低性能、終端服務的目的。這種攻擊也可能有一個特定的目標，如到某一特定目的地（如安全審計服務）的所有數據包都被阻止。

被動攻擊包括流量分析和竊聽。

流量分析攻擊方式適用於一些特殊場合，例如敏感信息都是保密的，攻擊者雖然從截獲的消息中無法的到消息的真實內容，但攻擊者還能通過觀察這些數據報的模式，分析確定出通信雙方的位置、通信的次數及消息的長度，獲知相關的敏感信息，這種攻擊方式稱為流量分析。

竊聽是最常用的手段。應用最廣泛的區域網上的數據傳送是基於廣播方式進行的，這就使一台主機有可能受到本子網上傳送的所有信息。而計算機的網卡工作在雜收模式時，它就可以將網路上傳送的所有信息傳送到上層，以供進一步分析。如果沒有採取加密措施，通過協議分析，可以完全掌握通信的全部內容，竊聽還可以用無限截獲方式得到信息，通過高靈敏接受裝置接收網路站點輻射的電磁波或網路連接設備輻射的電磁波，通過對電磁信號的分析恢復原數據信號從而獲得網路信息。盡管有時數據信息不能通過電磁信號全部恢復，但可能得到極有價值的情報。

被動攻擊雖然難以檢測，但可採取措施有效地預防，而要有效地防止攻擊是十分困難的，開銷太大，抗擊主動攻擊的主要技術手段是檢測，以及從攻擊造成的破壞中及時地恢復。檢測同時還具有某種威懾效應，在一定程度上也能起到防止攻擊的作用。具體措施包括自動審計、入侵檢測和完整性恢復等。

Ⅳ 如何攔截網路攻擊

黑客攻擊行為特徵分析 反攻擊技術綜合性分析報告 www.rising.com.cn 信息源:計算機與安全 要想更好的保護網路不受黑客的攻擊，就必須對黑客的攻擊方法、攻擊原理、攻擊過程有深入的、詳細的了解，只有這樣才能更有效、更具有針對性的進行主動防護。下面通過對黑客攻擊方法的特徵分析，來研究如何對黑客攻擊行為進行檢測與防禦。一、反攻擊技術的核心問題反攻擊技術（入侵檢測技術）的核心問題是如何截獲所有的網路信息。目前主要是通過兩種途徑來獲取信息，一種是通過網路偵聽的途徑（如Sniffer，Vpacket等程序）來獲取所有的網路信息（數據包信息，網路流量信息、網路狀態信息、網路管理信息等），這既是黑客進行攻擊的必然途徑，也是進行反攻擊的必要途徑；另一種是通過對操作系統和應用程序的系統日誌進行分析，來發現入侵行為和系統潛在的安全漏洞。二、黑客攻擊的主要方式黑客對網路的攻擊方式是多種多樣的，一般來講，攻擊總是利用「系統配置的缺陷」，「操作系統的安全漏洞」或「通信協議的安全漏洞」來進行的。到目前為止，已經發現的攻擊方式超過2000種，其中對絕大部分黑客攻擊手段已經有相應的解決方法，這些攻擊大概可以劃分為以下六類：1.拒絕服務攻擊：一般情況下，拒絕服務攻擊是通過使被攻擊對象（通常是工作站或重要伺服器）的系統關鍵資源過載，從而使被攻擊對象停止部分或全部服務。目前已知的拒絕服務攻擊就有幾百種，它是最基本的入侵攻擊手段，也是最難對付的入侵攻擊之一，典型示例有SYN Flood攻擊、Ping Flood攻擊、Land攻擊、WinNuke攻擊等。2.非授權訪問嘗試：是攻擊者對被保護文件進行讀、寫或執行的嘗試，也包括為獲得被保護訪問許可權所做的嘗試。3.預探測攻擊：在連續的非授權訪問嘗試過程中，攻擊者為了獲得網路內部的信息及網路周圍的信息，通常使用這種攻擊嘗試，典型示例包括SATAN掃描、埠掃描和IP半途掃描等。4.可疑活動：是通常定義的「標准」網路通信范疇之外的活動，也可以指網路上不希望有的活動，如IP Unknown Protocol和Duplicate IP Address事件等。5.協議解碼：協議解碼可用於以上任何一種非期望的方法中，網路或安全管理員需要進行解碼工作，並獲得相應的結果，解碼後的協議信息可能表明期望的活動，如FTU User和Portmapper Proxy等解碼方式。6.系統代理攻擊：這種攻擊通常是針對單個主機發起的，而並非整個網路，通過RealSecure系統代理可以對它們進行監視。三、黑客攻擊行為的特徵分析與反攻擊技術入侵檢測的最基本手段是採用模式匹配的方法來發現入侵攻擊行為，要有效的進反攻擊首先必須了解入侵的原理和工作機理，只有這樣才能做到知己知彼，從而有效的防止入侵攻擊行為的發生。下面我們針對幾種典型的入侵攻擊進行分析，並提出相應的對策。1.Land攻擊攻擊類型：Land攻擊是一種拒絕服務攻擊。攻擊特徵：用於Land攻擊的數據包中的源地址和目標地址是相同的，因為當操作系統接收到這類數據包時，不知道該如何處理堆棧中通信源地址和目的地址相同的這種情況，或者循環發送和接收該數據包，消耗大量的系統資源，從而有可能造成系統崩潰或死機等現象。檢測方法：判斷網路數據包的源地址和目標地址是否相同。反攻擊方法：適當配置防火牆設備或過濾路由器的過濾規則就可以防止這種攻擊行為（一般是丟棄該數據包），並對這種攻擊進行審計（記錄事件發生的時間，源主機和目標主機的MAC地址和IP地址）。2.TCP SYN攻擊攻擊類型：TCP SYN攻擊是一種拒絕服務攻擊。攻擊特徵：它是利用TCP客戶機與伺服器之間三次握手過程的缺陷來進行的。攻擊者通過偽造源IP地址向被攻擊者發送大量的SYN數據包，當被攻擊主機接收到大量的SYN數據包時，需要使用大量的緩存來處理這些連接，並將SYN ACK數據包發送回錯誤的IP地址，並一直等待ACK數據包的回應，最終導致緩存用完，不能再處理其它合法的SYN連接，即不能對外提供正常服務。檢測方法：檢查單位時間內收到的SYN連接否收超過系統設定的值。反攻擊方法：當接收到大量的SYN數據包時，通知防火牆阻斷連接請求或丟棄這些數據包，並進行系統審計。3.Ping Of Death攻擊攻擊類型：Ping Of Death攻擊是一種拒絕服務攻擊。攻擊特徵：該攻擊數據包大於65535個位元組。由於部分操作系統接收到長度大於65535位元組的數據包時，就會造成內存溢出、系統崩潰、重啟、內核失敗等後果，從而達到攻擊的目的。檢測方法：判斷數據包的大小是否大於65535個位元組。反攻擊方法：使用新的補丁程序，當收到大於65535個位元組的數據包時，丟棄該數據包，並進行系統審計。4.WinNuke攻擊攻擊類型：WinNuke攻擊是一種拒絕服務攻擊。攻擊特徵：WinNuke攻擊又稱帶外傳輸攻擊，它的特徵是攻擊目標埠，被攻擊的目標埠通常是139、138、137、113、53，而且URG位設為「1」，即緊急模式。檢測方法：判斷數據包目標埠是否為139、138、137等，並判斷URG位是否為「1」。反攻擊方法：適當配置防火牆設備或過濾路由器就可以防止這種攻擊手段（丟棄該數據包），並對這種攻擊進行審計（記錄事件發生的時間，源主機和目標主機的MAC地址和IP地址MAC）。5.Teardrop攻擊攻擊類型：Teardrop攻擊是一種拒絕服務攻擊。攻擊特徵：Teardrop是基於UDP的病態分片數據包的攻擊方法，其工作原理是向被攻擊者發送多個分片的IP包（IP分片數據包中包括該分片數據包屬於哪個數據包以及在數據包中的位置等信息），某些操作系統收到含有重疊偏移的偽造分片數據包時將會出現系統崩潰、重啟等現象。檢測方法：對接收到的分片數據包進行分析，計算數據包的片偏移量（Offset）是否有誤。反攻擊方法：添加系統補丁程序，丟棄收到的病態分片數據包並對這種攻擊進行審計。6.TCP／UDP埠掃描攻擊類型：TCP/UDP埠掃描是一種預探測攻擊。攻擊特徵：對被攻擊主機的不同埠發送TCP或UDP連接請求，探測被攻擊對象運行的服務類型。檢測方法：統計外界對系統埠的連接請求，特別是對21、23、25、53、80、8000、8080等以外的非常用埠的連接請求。反攻擊方法：當收到多個TCP/UDP數據包對異常埠的連接請求時，通知防火牆阻斷連接請求，並對攻擊者的IP地址和MAC地址進行審計。對於某些較復雜的入侵攻擊行為（如分布式攻擊、組合攻擊）不但需要採用模式匹配的方法，還需要利用狀態轉移、網路拓撲結構等方法來進行入侵檢測。四、入侵檢測系統的幾點思考從性能上講，入侵檢測系統面臨的一個矛盾就是系統性能與功能的折衷，即對數據進行全面復雜的檢驗構成了對系統實時性要求很大的挑戰。從技術上講，入侵檢測系統存在一些亟待解決的問題，主要表現在以下幾個方面：1.如何識別「大規模的組合式、分布式的入侵攻擊」目前還沒有較好的方法和成熟的解決方案。從Yahoo等著名ICP的攻擊事件中，我們了解到安全問題日漸突出，攻擊者的水平在不斷地提高，加上日趨成熟多樣的攻擊工具，以及越來越復雜的攻擊手法，使入侵檢測系統必須不斷跟蹤最新的安全技術。2.網路入侵檢測系統通過匹配網路數據包發現攻擊行為，入侵檢測系統往往假設攻擊信息是明文傳輸的，因此對信息的改變或重新編碼就可能騙過入侵檢測系統的檢測，因此字元串匹配的方法對於加密過的數據包就顯得無能為力。3.網路設備越來越復雜、越來越多樣化就要求入侵檢測系統能有所定製，以適應更多的環境的要求。4.對入侵檢測系統的評價還沒有客觀的標准，標準的不統一使得入侵檢測系統之間不易互聯。入侵檢測系統是一項新興技術，隨著技術的發展和對新攻擊識別的增加，入侵檢測系統需要不斷的升級才能保證網路的安全性。5.採用不恰當的自動反應同樣會給入侵檢測系統造成風險。入侵檢測系統通常可以與防火牆結合在一起工作，當入侵檢測系統發現攻擊行為時，過濾掉所有來自攻擊者的IP數據包，當一個攻擊者假冒大量不同的IP進行模擬攻擊時，入侵檢測系統自動配置防火牆將這些實際上並沒有進行任何攻擊的地址都過濾掉，於是造成新的拒絕服務訪問。6.對IDS自身的攻擊。與其他系統一樣，IDS本身也存在安全漏洞，若對IDS攻擊成功，則導致報警失靈，入侵者在其後的行為將無法被記錄，因此要求系統應該採取多種安全防護手段。7.隨著網路的帶寬的不斷增加，如何開發基於高速網路的檢測器（事件分析器）仍然存在很多技術上的困難。入侵檢測系統作為網路安全關鍵性測防系統，具有很多值得進一步深入研究的方面，有待於我們進一步完善，為今後的網路發展提供有效的安全手段。