学习笔记：网络型攻击防范（1）

介绍

• 网络攻击主要分为流量型攻击，扫描窥探攻击，畸形报文攻击和特殊报文攻击。其中扫描窥探攻击、畸形报文攻击以及特殊报文攻击属于单包攻击。
• 通常的网络攻击，一般是侵入或破坏网上的服务器（主机），盗取服务器的敏感数据或占用网络带宽，干扰破坏服务器对外提供的服务。也有直接破坏网络设备的网络攻击，这种破坏影响较大，会导致网络服务异常，甚至中断。

流量型攻击

• 流量型攻击是指攻击者通过大量的无用数据占用过多的资源以达到服务器拒绝服务的目的。
• 这类攻击典型特征是通过发出海量数据包，造成设备负载过高，最终导致网络带宽或是设备资源耗尽。通常，被攻击的路由器、服务器和防火墙的处理资源都是有限的，攻击负载之下它们就无法处理正常的合法访问，导致正常服务被拒绝。流量型攻击最通常的形式是Flood方式，这种攻击把大量看似合法的TCP、UDP、ICMP包发送至目标主机，甚至，有些攻击者还利用源地址伪造技术来绕过检测系统的监控，以达到攻击的目的。

• DoS是Denial of Service的简称，即拒绝服务，造成DoS的攻击行为被称为DoS攻击，其目的是使计算机或网络无法提供正常的服务。 DDos攻击是流量型攻击的一种典型方式，可以称为流量型攻击的另一种说法。

单包攻击

• 扫描窥探攻击是利用ping扫射（包括ICMP和TCP）来标识网络上存活着的系统，从而准确定位潜在的目标；利用TCP和UDP端口扫描，就能检测出操作系统和监听着的潜在服务。攻击者通过扫描窥探就能大致了解目标系统提供的服务种类和潜在的安全漏洞（识别目标弱点），为进一步侵入系统做好准备。
• 畸形报文攻击是指通过向目标系统发送有缺陷的IP报文，使得目标系统在处理这样的IP报文时发生错误，或者造成系统崩溃，影响目标系统的正常运行。主要的畸形报文攻击有Ping of Death、Teardrop等。
• 特殊报文攻击，是指攻击者利用一些合法的报文对网络进行侦察或者数据检测，这些报文都是合法的应用类型，只是正常网络很少用到。

单包攻击的防御原理

• 最常见的DoS攻击就是我们常常提到的单包攻击，这类攻击一般都是以个人为单位的黑客发动的，攻击报文也比较单一，虽然破坏力强大，但是只要掌握了攻击的特征，防御起来还是比较容易的。

扫描窥探攻击防范

IP地址扫描攻击介绍：
• 运用ping程序探测目标地址，确定目标系统是否存活。也可使用TCP/UDP报文对目标系统发起探测（如TCP ping）。

处理方法：
• 检测进入防火墙的ICMP、TCP和UDP报文，根据源IP地址获取统计表项的索引，如果目的IP地址与前一报文的IP地址不同，则将表项中的总报文个数增加1。如果在一定时间内报文的个数达到设置的阈值，记录日志，并根据配置决定是否将源IP地址自动加入黑名单。

• 命令firewall defend ip-sweep { max-rate rate-number | blacklist-timeout interval | enable }，主要参数意义如下：
• max-rate rate-number：设定从同一源地址向外发送报文的目的地址变化速率的阈值。rate-number 默认值为4000包/秒，取值范围为1包/秒～10000包/秒。
• blacklist-timeout interval：将攻击源IP加入黑名单并设定其在黑名单内的保持时间，interval 取值范围为1min～1000min，默认值为20min。