网络攻击行为检测_网络攻击监测分析数据库

上下位机网络通讯怎么保密运行

上下位机网络通讯保密运行需要很多计算机技术，具体如下：

（一）安全隔离网闸技术

互联网在为人们工作带来便利的同时，其安全问题也逐渐凸显出来。当一个内部网络既需要保证其数据的安全，又需要与外部网络进行数据交换时，可以采用以网闸技术为核心技术的网络安全隔离系统来保证内网与外网的物理隔离，同时又能够根据业务需求实现内外网之间多种形式的信息和数据交换。

网闸是使用带有多种控制功能的固态开关读写介质连接两个独立主机系统的信息安全设备。物理隔离网闸所连接的两个独立主机系统之间，不存在通信的物理连接、逻辑连接、信息传输命令、信息传输协议，不存在依据协议的信息包转发，只有数据文件的无协议“摆渡”，且对固态存储介质只有读和写两种命令。

网闸技术的工作流程可分为以下几个步骤：切断网络之间的通用协议连接；将数据包进行分解或重组为静态数据；对静态数据进行安全审查，包括网络协议检查和代码扫描等；确认后的安全数据流入内部单元；内部用户通过严格的身份认证机制获得所需数据。这样就在安全隔离两个网络的基础上实现了安全的信息交换和资源共享。

（二）防火墙技术

“防火墙”原指汽车上防止引擎发生爆炸而用来隔离引擎和乘客的装置。在被引入计算机安全领域之后，指用来保护内部网络不受来自外部的非法或非授权侵入的逻辑装置，其核心思想是在不安全的网间环境中构造一个相对安全的子网环境。“防火墙”种类很多，大致可分为两大类。一类是包过滤型（packet filter），通常直接转发报文，对用户完全透明，速度较快；另一类是代理服务（proxy service），通过代理服务器（proxy service）建立网络连接，具有较强的身份验证和日志功能。但不论哪一类“防火墙”，都不能做到无隙可击。目前，防火墙主要技术有如下几种。

1、包过滤（packet filter）技术

包过滤技术，是指在网络层中对数据包实施有选择的通过。依据系统内事先设定的过滤逻辑，即访问控制表（access control table），检查数据流中每个数据包后，根据数据包的的源IP地址、目的IP地址、TCP/UDP源端口号、TCP/UDP目的端口号及数据包头中的各种标志位等字段来确定是否允许数据包通过，其核心是安全策略，即过滤算法的设计。例如，基于特定服务的服务器使用特定的端口号（TCP端口23用于telnet连接），包过滤器可以通过简单地规定适当的端口号来达到阻止或允许一定类型的连接的目的，并可进一步组成一套数据包过滤规则。包过滤器的应用非常广泛，因为CPU用来处理报文过滤的时间可以忽略不计。此外，这种防护措施对用户透明，合法用户的数据在进出网络时，根本感觉不到它的存在。但是，包过滤防火墙的安全性有一定的缺陷，因为系统对应用层信息无感知，也就是说，防火墙不理解通信的内容。正是由于这种工作机制，包过滤防火墙存在以下缺陷：（1）数据包的源IP地址、目的IP地址以及IP的端口号都在数据包的头部，很有可能被伪造；（2）通信和应用状态信息：由于包过滤防火墙是无状态的，不能根据通讯的上下文或应用的上下文来进行过滤；（3）信息处理：难于配置，不具备监视和审计能力，信息处理能力极弱。

2. 应用网关技术

该技术又称为双主机技术（dual homed host），采用主机取代路由器执行控管功能。主机是内外网络连接的桥梁，起着网关的作用，也被称为堡垒主机（bastion host）。应用层网关（application level gateways）是建立在网络应用层上的基于主机的协议转发器，它的原理是建立一个子网-----内部网络和外部网络之间的一个单独区域，一个路由器或更复杂的网关位于内部网络和该区域之间，其他的位于该区域和外部网络之间。在该子网上有一个代理主机，进出用户必须在应用层和该代理主机连接。代理主机可以进行预先的鉴别，针对特定的网络应用服务协议指定数据过滤逻辑，限制进出的通信，并在进行应用协议所指定的数据过滤逻辑的同时，对数据包分析的结果及采取的措施做登记和统计，形成报告，提供审计的功能。

应用层网关不使用通用目标机制来服务不同种类的通信，而是针对每个应用使用专用的代码。它在网络应用层上建立协议过滤和转发功能，针对特定的网络应用服务协议使用指定的数据过滤逻辑，并在过滤的同时，对数据包进行必要的分析、登记和统计。通过采用这种专用的程序代码，应用层网关可以提供高可靠性的安全机制。为了使用应用层网关，用户需要在应用层网关上登录请求，或者在本地机器上使用一个为该服务特别编制的程序代码。每当一个新的需要保护的应用程序加入网络中时，必须为其编写专门的程序代码。正因如此，许多应用层网关只能提供有限的应用和服务功能，同时必须为每一项应用编写专用程序。但从安全角度上看，这也是一个优点，因为除非明确地提供了应用层网关，否则就不可能通过防火墙。这也是在实践“拒绝访问除明确许可以外的任何一种服务”的原则。

应用层网关的优点是容易记录和控制所有进出的通信，应用层网关可以去掉内部设备的名字，隐藏可能有价值的数据，通信分析、内容分析和记录都可以用来寻找信息漏洞，不必担心不同过滤规则集之间的相互影响，也不必担心对外提供安全服务的主机中的漏洞。应用层网关的缺点是对提供的大部分服务都需要专业化的用户程序或不同用户接口，这意味着只能支持最重要的服务，而且一旦特定的网络数据满足逻辑，则会导致防火墙内外的计算机系统建立直接联系，这一点也给网络带来安全隐患。

3. 代理服务器技术

代理服务器也称链路级网关或TCP通道，它作用在应用层，提供对应用层服务的控制，起到内部网络向外部网络申请服务时中间转接的作用。内部网络只接受代理提出的服务请求，拒绝外部网络其他结点的直接请求。

具体地说，代理服务器是运行在防火墙主机上的专门的应用程序或者服务器程序。防火墙主机可以是具有一个内部网络接口和一个外部网络接口的双重宿主主机，也可以是一些可以访问互联网并被内部主机访问的堡垒主机。这些程序接受用户对互联网服务的请求（诸如FTP、Telent），并按照一定的安全策略转发它们到实际的服务器。

代理服务应用于特定的互联网服务，如超文本传输（HTTP）、远程文件传输（FTP）等。代理服务器通常运行在两个网络之间，对于客户来说像是一台真的服务器一样，而对于外界的服务器来说，它又是一台客户机。当代理服务器接收到用户的请求后，会检查用户请求的站点是否符合公司的要求，如果公司允许用户访问该站点的话，代理服务器会像一个客户端一样去那个站点取回所需信息再转发给客户。代理服务器通常都拥有一个高速缓存，这个缓存存储有用户经常访问站点的内容，在下一个用户要访问同样的站点时，服务器就不用重复查找同样的内容，既节约时间，也节约网络资源。

代理服务器像一堵墙一样挡在内部用户和外界之间，从外面只能看到代理服务器而看不到任何内部资源，诸如用户的IP等。代理工作在客户机和真实服务器之间，完全控制会话，所以可以提供很详细的日志和安全审计功能。通过代理访问internet可以解决合法的IP地址不够用的问题，因为internet所见到的只是代理服务器的地址，内部不合法的IP通过代理可以访问internet。然而代理服务器也有明显的缺点，主要包括它的有限连接性、性能低下等。

目前，随着互联网的环境不断动态变化，新的协议、服务和应用不断出现，代理服务器不能再处理互联网上各种类型的传输，不能满足新的商业需求，不能胜任对网络高带宽和安全性的需要。

4. 网络地址转换技术（NAT）

当受保护网连到internet上时，受保护网用户必须使用一个合法的IP地址。但由于合法internet IP地址有限，而且受保护网络往往有自己的一套IP地址规划（非正式IP），这就需要网络地址转换器。网络地址转换器就是在防火墙上装载一个合法IP地址集，当内部某一用户要访问internet时，防火墙动态地从地址集中选一个未分配的地址分配给该用户，该用户即可使用这个合法地址进行通信。同时，对于内部的某些服务器如Web服务器，网络地址转换器允许为其分配一个固定的合法地址，外部网络的用户就可以通过防火墙来访问内部的服务器。这种技术既缓解了少量的IP地址和大量的主机之间的矛盾，又对外隐藏了内部主机的IP地址，提高了安全性。

网络地址转换分为静态地址和动态地址两种转换模式，静态地址转换是一对一的永久地址映射，而动态地址转换则是根据内部用户的需要临时分配公网地址，其地址映射是暂时的。网络地址转换可以对外隐藏内部的网络结构，外部攻击者无法确定内部计算机的连接状态。在不同时候，内部计算机对外连接使用的地址都是不同的，给外部攻击造成了困难。同样，NAT也能通过定义各种映射规则，屏蔽外部的连接请求，并可以将链接请求映射到不同的计算机中。网络地址转换都和IP数据包过滤一起使用，就构成了一种更复杂的包过滤型的防火墙。仅仅具备包过滤能力的路由器，其防火墙能力还是比较弱，抵抗外部入侵的能力也较差，而和网络地址翻译技术相结合，就能起到更好的安全保障作用。

5. 规则检查技术

规则检查技术既能在网络层上通过IP地址和端口号，过滤进出的数据包，也可以在OSI应用层上检查数据包的内容，查看这些内容是否符合网络的安全规则。目前，动态规则检查技术是防火墙技术的一个重大改进。最初，静态检查规则是管理员事先定好的，由于事先很难精准地判断防火墙应开多少端口才能满足正常通信的需求，所以，只能打开较多的端口满足需求，其中必然有大部分端口是不必打开的，这样就给黑客的行动带来极大的便利。动态规则的引入弥补了静态规则的不足。动态规则是由应用程序直接加入的，因此所有在应用中才能知道是否打开的端口都由应用程序通过动态规则在适当时刻打开，当应用结束时，动态规则由应用程序删除，相应的端口被关闭，而静态规则只需要打开极少数必须打开的端口。这样在最大限度上降低了黑客进攻的成功率。

6. 主动监测技术

主动监测技术监测网络情况，当出现网络攻击时就立即发出警告或切断相关连接。它维护一个记录各种攻击模式的数据库，并使用监测程序时刻运行在网络中进行监控，一旦发现网络中存在与数据库中的某个模式相匹配的攻击模式时，就能推断可能出现网络攻击。主动监测程序要监控整个网络的数据，因此需要运行在路由器上或路由器旁能获得所有网络流量的位置。这种技术主要用于对网络安全要求非常高的网络系统中，常用的网络并不需要使用这种方式。

7. 多级过滤技术

多级过滤防火墙采用了分组、应用网关和电路网关的三级过滤措施。在分组过滤一级，过滤掉所有的源路由分组和假冒的IP源地址；在应用网关一级，利用FTP、SMTP等各种网关，控制和监测internet提供的所用通用服务；在电路网关一级，实现内部主机与外部站点的透明连接，并对服务执行严格的控制。

8. INTERNET网关技术

由于是直接串联在网络之中，防火墙必须支持用户在internet互联的所有服务，同时还要防止与internet服务有关的安全漏洞。因此，它要能以多种安全的应用服务器（包括FTP、Finger、Mail、Ident、News、WWW等）来实现网关功能。同时为确保服务器的安全性，对所有的文件和命令均要利用“改变根系统调用（chroot）”做物理上的隔离。而单纯使用该技术，抵抗外部进入的能力较差，当和网络地址转换技术相结合时，就能实现更好的安全保证。

（三）入侵监测技术

入侵检测技术最早是由多萝西丹宁（Dorothy Denning）于1986年提出的，近年来由于黑客盛行而受到极大重视。从具体的检测方法上看，可将检测系统分为基于行为的和基于知识的两种；从检测系统所分析的原始数据上看，可分为来自系统日志和网络数据包两种。入侵检测技术的基本原理是，首先收集系统的脆弱性指标建立检测库，再以此检测库检测其他系统中是否有已知的类似脆弱性；若发现新的脆弱性，又反过来更新原有检测库。如此往复，不断丰富检测库，及时发现系统脆弱性。入侵检测包括通过破译口令或使用软件非授权侵入系统、合法用户的信息外泄、冒充他人账户的闯入等多种内容。入侵检测技术已从早期的审计跟踪数据分析，发展到目前应用于大型网络和分

企业网络常见的攻击手法和防护措施？

随着Internet/Intranet技术的飞速发展和广泛应用，网络安全问题愈来愈突出，已成为当前的一大技术热点。黑客技术的公开和有组织化，以及网络的开放性使得网络受到攻击的威胁越来越大。而企业对这一问题严重性的认识和所具备的应付能力还远远不够。加上管理不当，应用人员水平参差不齐，没有有效的方式控制网络的安全状况，企业理想中的安全与实际的安全程度存在巨大的差距。

1、网络安全面临的威胁

（1）、人为的无意失误，如操作员安全配置不当造成的安全漏洞，用户安全意识不强，用户口令选择不慎，用户将自己的帐号随意转借他人或与别人共享等都会对网络安全带来威胁。

（2）、人为的恶意攻击，来自内部的攻击者往往会对内部网安全造成最大的威胁，因为他们本身就是单位内部人员，对单位的业务流程，应用系统，网络结构甚至是网络系统管理非常熟悉，而这些人员对Intranet发起攻击的成功率可能最高，造成的损失最大，所以这部分攻击者应该成为我们要防范的主要目标。

（3）、网络软件的漏洞和“后门”网络软件不可能是百分之百的无缺陷和无漏洞的，这些漏洞和缺陷恰恰是黑客进行攻击的首选目标。曾经出现过的黑客攻入网络内部的事件大部分就是因为安全措施不完善所招致的苦果。另外，软件的“后门”都是软件公司的设计编程人员为了自便而设置的，一般不为外人所知，可一旦“后门”洞开，其造成的后果将不堪设想。

（4）、互联网络的不安全因素，国际互联网络是跨越时空的，所以安全问题也是跨越时空的。虽然我们国家的网络不发达，但是我们遭到的安全危险却是同国外一样的，这是一个很严重的问题。在不同的行业，所遭受的攻击因行业和网络服务的不同而不同。在电信或者ICP市场，进攻服务系统比较多；而在银行业，对数据系统的进攻相对更频繁；政府方面，对服务的进攻，尤其是其信息发布系统很频繁。

（5）、病毒入侵，目前，网络病毒种类繁多，病毒很容易通过互联网或其他途径（如通过各接入点、日常维护操作、磁盘、其他外网）进入网络内部各服务器，造成网络拥塞、业务中断、系统崩溃。而现在流行的各种新型网络病毒，将网络蠕虫、计算机病毒、木马程序合为一体，发展到融和了多种技术于一体，互相利用和协同，已不仅仅是单一的攻击和漏洞利用，使系统自身防不胜防。病毒发作对系统数据的破坏性、和系统本身都将会造成很大的影响。

2、网络攻击的一般方法

从黑客的角度来看，黑客可以利用的方式多种多样，包括：

（1）使用探察软件，猜测和分析操作系统类别、网络提供服务、网络的结构等；

（2）使用强制攻击软件对网络进行攻击，例如针对POP的强行的密码猜解，SQL的密码猜解等；

（3）使用漏洞扫描工具，发现漏洞，进而采用缓存溢出等手段直接或者间接的获取系统超级用户权限；如系统平台自身由于漏洞被黑客利用，将直接导致全厂业务服务的中断。

（4）使用木马进行非法连接；

（5）利用疏忽的数据库简单配置，例如超级管理员密码简单甚至为空或者用户密码和用户名相同等漏洞，获取数据库的某些权限，进而获得系统的权限。

（6）利用可信任的关系进行攻击，例如深圳电信网站的某些数据库设定的访问地址，这样黑客可以先攻击这些被数据库信任的地址进行逐“跳”的攻击。

（7）DDOS攻击，使用各种工具进行洪水攻击；利用漏洞的拒绝服务攻击。

3、企业网络安全防护措施

根据企业网络系统的实际防护需要，必须保护的内容包括：Web主机（门户网站、OA系统等基于Web访问的主机），数据库主机，邮件服务器等，网络入口，内部网络检测。对企业重要的是有效防护Web服务器的非法访问和网页被非法修改，防护数据库服务器数据被非授权用户非法访问或被黑客篡改、删除。一旦发现服务器遭入侵或网页被篡改，能进行及时报警和恢复处理。

（1）防火墙，在外部网络同内部网络之间应设置防火墙设备。如通过防火墙过滤进出网络的数据；对进出网络的访问行为进行控制和阻断；封堵某些禁止的业务；记录通过防火墙的信息内容和活动；对网络攻击的监测和告警。禁止外部用户进入内部网络，访问内部机器；保证外部用户可以且只能访问到某些指定的公开信息；限制内部用户只能访问到某些特定的Intenet资源，如WWW服务、FTP服务、TELNET服务等；防火墙产品本身具有很强的抗攻击能力。使用硬件防火墙，管理和维护更加方便有效。

（2）、入侵检测系统，企业内部主机操作系统种类一般在两种以上，而目前漏洞攻击手法大部分是基于操作系统已有的安全漏洞进行攻击，通过使用防火墙设备可以防范大部分的黑客攻击，但是有些攻击手法是通过防火墙上开启的正常服务来实现的，而且防火墙不能防范内部用户的恶意行为和误操作。通过使用入侵检测系统，可以监视用户和系统的运行状态，查找非法用户和合法用户的越权操作；检测系统配置的正确性和安全漏洞，并提示管理员修补漏洞；对用户非法活动的统计分析，发现攻击行为的规律；检查系统程序和数据的一致性和正确性；能够实时对检测到的攻击行为进行反应。

（3）网络漏洞扫描入侵者一般总是通过寻找网络中的安全漏洞来寻找入侵点。进行系统自身的脆弱性检查的主要目的是先于入侵者发现漏洞并及时弥补，从而进行安全防护。由于网络是动态变化的：网络结构不断发生变化、主机软件不断更新和增添；所以，我们必须经常利用网络漏洞扫描器对网络设备进行自动的安全漏洞检测和分析，包括：应用服务器、WWW服务器、邮件服务器、DNS服务器、数据库服务器、重要的文件服务器及交换机等网络设备，通过模拟黑客攻击手法，探测网络设备中存在的弱点和漏洞，提醒安全管理员，及时完善安全策略，降低安全风险。

（4）、防病毒系统要防止计算机病毒在网络上传播、扩散，需要从Internet、邮件、文件服务器和用户终端四个方面来切断病毒源，才能保证整个网络免除计算机病毒的干扰，避免网络上有害信息、垃圾信息的大量产生与传播。单纯的杀毒软件都是单一版系统，只能在单台计算机上使用，只能保证病毒出现后将其杀灭，不能阻止病毒的传播和未知病毒的感染；若一个用户没有这些杀毒软件，它将成为一个病毒传染源，影响其它用户，网络传播型病毒的影响更甚。只有将防毒、杀毒融为一体来考虑，才能较好的达到彻底预防和清除病毒的目的。

因此，使用网络防、杀毒的全面解决方案才是消除病毒影响的最佳办法。它可以将进出企业网的病毒、邮件病毒进行有效的清除，并提供基于网络的单机杀毒能力。网络病毒防护系统能保证病毒库的及时更新，以及对未知病毒的稽查。另外，要提高网络运行的管理水平，有效地、全方位地保障网络安全。

4、企业网络安全解决方案

广义的计算机系统安全的范围很广，它不仅包括计算机系统本身，还包括自然灾害（如雷电、地震、火灾等），物理损坏（如硬盘损坏、设备使用寿命到期等），设备故障（如停电、电磁干扰等），意外事故等。

狭义的系统安全包括计算机主机系统和网络系统上的主机、网络设备和某些终端设备的安全问题，主要针对对这些系统的攻击、侦听、欺骗等非法手段的防护。以下所有的计算机系统安全均是狭义的系统安全范畴。规划企业网络安全方案，要根据企业的网络现状和网络安全需求，结合网络安全分析，一是需要加强对网络出口安全方面的控制和管理，防止安全事故的发生；二是加强内部网络访问控制，以业务分工来规划网络，限制网络用户的访问范围；同时增加网络安全检测设备，对用户的非法访问进行监控。我们建议，企业的安全解决方案一般应有下面一些做法：

（1）在Internet接入处，放置高性能硬件防火墙（包括防火墙+带宽管理+流探测+互动IDS等）。防火墙要支持包过滤和应用级代理两种技术，具有三种管理方式，能够很方便的设置防火墙的各种安全策略，并且能够与网络入侵检测系统进行互动，相互配合，阻挡黑客的攻击。

（2）在内网快速以大网交换机上连接一个网络入侵检测系统，对进入内网的数据包进行检查，确保没有恶意的数据包进入，从而影响内网数据服务器的正常工作。

（3）使用互联网入侵检测系统对DMZ区和内网的服务器（包括Web服务器/应用服务器、数据服务器、DNS服务器、邮件服务器和管理服务器等），以及桌面计算机进行扫描和评估，进行人工安全分析，以确定其存在的各种安全隐患和漏洞，并根据扫描的结果提出加固建议，保护企业网络系统的正常工作。

（4）在各主要服务器上安装服务器防病毒产品，对服务器进行病毒防护，确保病毒不会进入各服务器，并且不会通过服务器进行传播。

（5）用一台专用的PC服务器安装服务器防病毒系统，并在内网上安装工作站防病毒产品，通过服务器防病毒系统对这些工作站进行管理和升级。

Sniffer是什么？怎么用？

Sniffer，中文可以翻译为嗅探器，是一种基于被动侦听原理的网络分析方式。使用这种技术方式，可以监视网络的状态、数据流动情况以及网络上传输的信息。当信息以明文的形式在网络上传输时，便可以使用网络监听的方式来进行攻击。将网络接口设置在监听模式，便可以将网上传输的源源不断的信息截获。Sniffer技术常常被黑客们用来截获用户的口令，据说某个骨干网络的路由器网段曾经被黑客攻入，并嗅探到大量的用户口令。但实际上Sniffer技术被广泛地应用于网络故障诊断、协议分析、应用性能分析和网络安全保障等各个领域。

本文将详细介绍Sniffer的原理和应用。

一、Sniffer 原理

1．网络技术与设备简介

在讲述Sniffer的概念之前，首先需要讲述局域网设备的一些基本概念。

数据在网络上是以很小的称为帧（Frame）的单位传输的，帧由几部分组成，不同的部分执行不同的功能。帧通过特定的称为网络驱动程序的软件进行成型，然后通过网卡发送到网线上，通过网线到达它们的目的机器，在目的机器的一端执行相反的过程。接收端机器的以太网卡捕获到这些帧，并告诉操作系统帧已到达，然后对其进行存储。就是在这个传输和接收的过程中，嗅探器会带来安全方面的问题。

每一个在局域网（LAN）上的工作站都有其硬件地址，这些地址惟一地表示了网络上的机器（这一点与Internet地址系统比较相似）。当用户发送一个数据包时，这些数据包就会发送到LAN上所有可用的机器。

如果使用Hub/即基于共享网络的情况下，网络上所有的机器都可以“听”到通过的流量，但对不属于自己的数据包则不予响应（换句话说，工作站A不会捕获属于工作站B的数据，而是简单地忽略这些数据）。如果某个工作站的网络接口处于混杂模式（关于混杂模式的概念会在后面解释），那么它就可以捕获网络上所有的数据包和帧。

但是现代网络常常采用交换机作为网络连接设备枢纽，在通常情况下，交换机不会让网络中每一台主机侦听到其他主机的通讯，因此Sniffer技术在这时必须结合网络端口镜像技术进行配合。而衍生的安全技术则通过ARP欺骗来变相达到交换网络中的侦听。

2．网络监听原理

Sniffer程序是一种利用以太网的特性把网络适配卡（NIC，一般为以太网卡）置为杂乱（promiscuous）模式状态的工具，一旦网卡设置为这种模式，它就能接收传输在网络上的每一个信息包。

普通的情况下，网卡只接收和自己的地址有关的信息包，即传输到本地主机的信息包。要使Sniffer能接收并处理这种方式的信息，系统需要支持BPF，Linux下需要支持SOCKET一PACKET。但一般情况下，网络硬件和TCP／IP堆栈不支持接收或者发送与本地计算机无关的数据包，所以，为了绕过标准的TCP／IP堆栈，网卡就必须设置为我们刚开始讲的混杂模式。一般情况下，要激活这种方式，内核必须支持这种伪设备Bpfilter，而且需要root权限来运行这种程序，所以sniffer需要root身份安装，如果只是以本地用户的身份进入了系统，那么不可能唤探到root的密码，因为不能运行Sniffer。

也有基于无线网络、广域网络(DDN, FR)甚至光网络(POS、Fiber Channel)的监听技术，这时候略微不同于以太网络上的捕获概念，其中通常会引入TAP (测试介入点)这类的硬件设备来进行数据采集。

3. Sniffer的分类

Sniffer分为软件和硬件两种，软件的Sniffer有 Sniffer Pro、Network Monitor、PacketBone等，其优点是易于安装部署，易于学习使用，同时也易于交流；缺点是无法抓取网络上所有的传输，某些情况下也就无法真正了解网络的故障和运行情况。硬件的Sniffer通常称为协议分析仪，一般都是商业性的，价格也比较昂贵，但会具备支持各类扩展的链路捕获能力以及高性能的数据实时捕获分析的功能。

基于以太网络嗅探的Sniffer只能抓取一个物理网段内的包，就是说，你和监听的目标中间不能有路由或其他屏蔽广播包的设备，这一点很重要。所以，对一般拨号上网的用户来说，是不可能利用Sniffer来窃听到其他人的通信内容的。

4．网络监听的目的

当一个黑客成功地攻陷了一台主机，并拿到了root权限，而且还想利用这台主机去攻击同一（物理）网段上的其他主机时，他就会在这台主机上安装Sniffer软件，对以太网设备上传送的数据包进行侦听，从而发现感兴趣的包。如果发现符合条件的包，就把它存到一个LOg文件中去。通常设置的这些条件是包含字“username”或“password”的包，这样的包里面通常有黑客感兴趣的密码之类的东西。一旦黑客截获得了某台主机的密码，他就会立刻进入这台主机。

如果Sniffer运行在路由器上或有路由功能的主机上，就能对大量的数据进行监控，因为所有进出网络的数据包都要经过路由器。

Sniffer属于第M层次的攻击。就是说，只有在攻击者已经进入了目标系统的情况下，才能使用Sniffer这种攻击手段，以便得到更多的信息。

Sniffer除了能得到口令或用户名外，还能得到更多的其他信息，比如一个重要的信息、在网上传送的金融信息等等。Sniffer几乎能得到任何在以太网上传送的数据包。

二、Sniffer产品介绍

网络的安全性和高可用性是建立在有效的网络管理基础之上的,网络管理包括配置管理、故障管理、性能管理、安全管理和计费管理五大部分。对于企业计算机网络来说，网络故障管理主要侧重于实时的监控，而网络性能管理更看中历史分析。

Sniffer网络分析仪是一个网络故障、性能和安全管理的有力工具，它能够自动地帮助网络专业人员维护网络，查找故障，极大地简化了发现和解决网络问题的过程，广泛适用于Ethernet、Fast Ethernet、Token Ring、Switched LANs、FDDI、X.25、DDN、Frame Relay、ISDN、ATM和Gigabits等网络。

1.1 Sniffer产品的基本功能包括：

• 网络安全的保障与维护

1. 对异常的网络攻击的实时发现与告警；

2. 对高速网络的捕获与侦听；

3. 全面分析与解码网络传输的内容；

• 面向网络链路运行情况的监测

1. 各种网络链路的运行情况；

2. 各种网络链路的流量及阻塞情况；

3. 网上各种协议的使用情况；

4. 网络协议自动发现；

5. 网络故障监测；

• 面向网络上应用情况的监测

1. 任意网段应用流量、流向；

2. 任意服务器应用流量、流向；

3. 任意工作站应用流量、流向；

4. 典型应用程序响应时间；

5. 不同网络协议所占带宽比例；

6. 不同应用流量、流向的分布情况及拓扑结构；

• 强大的协议解码能力，用于对网络流量的深入解析

1. 对各种现有网络协议进行解码；

2. 对各种应用层协议进行解码；

3. Sniffer协议开发包（PDK）可以让用户简单方便地增加用户自定义的协议；

• 网络管理、故障报警及恢复

运用强大的专家分析系统帮助维护人员在最短时间内排除网络故障；

1.2 实时监控统计和告警功能

根据用户习惯，Sniffer可提供实时数据或图表方式显示统计结果，统计内容包括：

 网络统计：如当前和平均网络利用率、总的和当前的帧数及字节数、总站数和激活的站数、协议类型、当前和总的平均帧长等。

 协议统计：如协议的网络利用率、协议的数、协议的字节数以及每种协议中各种不同类型的帧的统计等。

 差错统计：如错误的CRC校验数、发生的碰撞数、错误帧数等。

 站统计：如接收和发送的帧数、开始时间、停止时间、消耗时间、站状态等。最多可统计1024个站。

 帧长统计：如某一帧长的帧所占百分比，某一帧长的帧数等。

当某些指标超过规定的阈值时，Sniffer可以自动显示或采用有声形式的告警。

Sniffer可根据网络管理者的要求，自动将统计结果生成多种统计报告格式，并可存盘或打印输出。

1.3 Sniffer实时专家分析系统

高度复杂的网络协议分析工具能够监视并捕获所有网络上的信息数据包，并同时建立一个特有网络环境下的目标知识库。智能的专家技术扫描这些信息以检测网络异常现象，并自动对每种异常现象进行归类。所有异常现象被归为两类：一类是symptom（故障征兆提示，非关键事件例如单一文件的再传送），另一类是diagnosis（已发现故障的诊断，重复出现的事件或要求立刻采取行动的致命错误）。经过问题分离、分析且归类后，Sniffer将实时地，自动发出一份警告、对问题进行解释并提出相应的建议解决方案。

Sniffer与其他网络协议分析仪最大的差别在于它的人工智能专家系统(Expert System)。简单地说，Sniffer能自动实时监视网络，捕捉数据，识别网络配置，自动发现网络故障并进行告警，它能指出：

 网络故障发生的位置，以及出现在OSI第几层。

 网络故障的性质，产生故障的可能的原因以及为解决故障建议采取的行动。

 Sniffer 还提供了专家配制功能，用户可以自已设定专家系统判断故障发生的触发条件。

 有了专家系统，您无需知道那些数据包构成网络问题，也不必熟悉网络协议，更不用去了解这些数据包的内容，便能轻松解决问题。

1.4 OSI全协议七层解码

Sniffer的软件非常丰富，可以对在各种网络上运行的400多种协议进行解码，如TCP/IP、Novell Netware、DECnet、SunNFS、X-Windows、HTTP、TNS SLQ*Net v2(Oracle)、Banyan v5.0和v6.0、TDS/SQL(Sybase)、X.25、Frame Realy、PPP、Rip/Rip v2、EIGRP、APPN、SMTP等。还广泛支持专用的网络互联桥/路由器的帧格式。

Sniffer可以在全部七层OSI协议上进行解码，目前没有任何一个系统可以做到对协议有如此透彻的分析；它采用分层方式，从最低层开始，一直到第七层，甚至对ORACAL数据库、SYBASE数据库都可以进行协议分析；每一层用不同的颜色加以区别。

Sniffer对每一层都提供了Summary(解码主要规程要素)、Detail(解码全部规程要素)、Hex(十六进制码)等几种解码窗口。在同一时间，最多可以打开六个观察窗口。

Sniffer还可以进行强制解码功能(Protocl Forcing)，如果网络上运行的是非标准协议，可以使用一个现有标准协议样板去尝试解释捕获的数据。

Sniffer提供了在线实时解码分析和在线捕捉，将捕捉的数据存盘后进行解码分析二种功能。

二、Sniffer的商业应用

Sniffer被 Network General公司注册为商标，这家公司以出品Sniffer Pro系列产品而知名。目前最新版本为Sniffer Portable 4.9，这类产品通过网络嗅探这一技术方式，对数据协议进行捕获和解析，能够大大帮助故障诊断和网络应用性能的分析鉴别。

Network General 已经被NetScout公司收购。

三、Sniffer的扩展应用

1、专用领域的Sniffer

Sniffer被广泛应用到各种专业领域，例如FIX (金融信息交换协议)、MultiCast(组播协议)、3G (第三代移动通讯技术)的分析系统。其可以解析这些专用协议数据，获得完整的解码分析。

2、长期存储的Sniffer应用

由于现代网络数据量惊人，带宽越来越大。采用传统方式的Sniffer产品很难适应这类环境，因此诞生了伴随有大量硬盘存储空间的长期记录设备。例如nGenius Infinistream等。

3、易于使用的Sniffer辅助系统

由于协议解码这类的应用曲高和寡，很少有人能够很好的理解各类协议。但捕获下来的数据却非常有价值。因此在现代意义上非常流行如何把协议数据采用最好的方式进行展示，包括产生了可以把Sniffer数据转换成Excel的BoneLight类型的应用和把Sniffer分析数据进行图形化的开源系统PacketMap等。这类应用使用户能够更简明地理解Sniffer数据。

4、无线网络的Sniffer

传统Sniffer是针对有线网络中的局域网而言，所有的捕获原理也是基于CSMA/CD的技术实现。随着WLAN的广泛使用，Sniffer进一步扩展到802.11A/B/G/N的无线网络分析能力。无线网络相比传统网络无论从捕获的原理和接入的方式都发生了较大改变。这也是Sniffer技术发展趋势中非常重要的部分.

什么是入侵检测，以及入侵检测的系统结构组成？

入侵检测是防火墙的合理补充。

入侵检测的系统结构组成：

1、事件产生器：它的目的是从整个计算环境中获得事件，并向系统的其他部分提供此事件。

2、事件分析器：它经过分析得到数据，并产生分析结果。

3、响应单元：它是对分析结果作出反应的功能单元，它可以作出切断连接、改变文件属性等强烈反应，也可以只是简单的报警。

4、事件数据库：事件数据库是存放各种中间和最终数据的地方的统称，它可以是复杂的数据库，也可以是简单的文本文件。

扩展资料：

入侵检测系统根据入侵检测的行为分为两种模式：异常检测和误用检测。前者先要建立一个系统访问正常行为的模型，凡是访问者不符合这个模型的行为将被断定为入侵。

后者则相反，先要将所有可能发生的不利的不可接受的行为归纳建立一个模型，凡是访问者符合这个模型的行为将被断定为入侵。

这两种模式的安全策略是完全不同的，而且，它们各有长处和短处：异常检测的漏报率很低，但是不符合正常行为模式的行为并不见得就是恶意攻击，因此这种策略误报率较高。

误用检测由于直接匹配比对异常的不可接受的行为模式，因此误报率较低。但恶意行为千变万化，可能没有被收集在行为模式库中，因此漏报率就很高。

这就要求用户必须根据本系统的特点和安全要求来制定策略，选择行为检测模式。现在用户都采取两种模式相结合的策略。

参考资料来源：百度百科—入侵检测

参考资料来源：百度百科—入侵检测系统