当前位置:首页 > 工业技术
网络入侵检测分析员手册
网络入侵检测分析员手册

网络入侵检测分析员手册PDF电子书下载

工业技术

  • 电子书积分:10 积分如何计算积分?
  • 作 者:Stephen Northcutt著;余青霓等译
  • 出 版 社:北京:人民邮电出版社
  • 出版年份:2000
  • ISBN:711508372X
  • 页数:209 页
图书介绍:
《网络入侵检测分析员手册》目录

前言页 1

第1章 Mitnick攻击 1

1.1 利用TCP 1

1.1.1 TCP回顾 1

1.1.2 SYN湮没 2

1.1.3 TCP劫取 7

1.2 检测Mitnick攻击 9

1.3 预防Mitnick攻击 12

1.4 小结 13

第2章 过滤器和攻击特征介绍 15

2.1 过滤策略 15

2.1.1 拒绝一切 15

2.1.2 允许一切 15

2.2 攻击特征 16

2.2.1 用来检测攻击特征的过滤器 16

2.3.1 Land攻击 17

2.3 过滤器实例 17

2.2.2 升级特征 17

2.3.2 WinNuke攻击 18

2.3.3 圣诞树过滤器 21

2.3.4 Web服务器攻击检测过滤器示例 23

2.4 与目标过滤器相关的策略问题 26

2.4.1 非授权使用 26

2.4.2 坏雇员 26

2.5 小结 27

2.4.3 到此为止 27

第3章 体系结构问题 29

3.1 关注的事件 30

3.2 观测限制 30

3.3 简易系统模式 31

3.4 人的因素对检测的限制 32

3.4.1 分析员带来的限制 32

3.4.2 CIRT带来的限制 32

3.5 攻击的严重性 33

3.5.2 攻击的毁坏性 34

3.5.1 系统重要性 34

3.6 对策 35

3.7 检测器位置 36

3.7.1 放在防火墙之外 36

3.7.2 检测器的防火墙内 37

3.7.3 防火墙内外都有检测器 37

3.7.4 检测器的其他位置 38

3.8 推(Push)和拉(Pull) 38

3.9 分析员控制台 39

3.9.1 快速控制台 40

3.9.2 误报警管理 40

3.9.3 显示过滤器 40

3.9.4 标记分析事件 41

3.9.5 层层探究 41

3.9.6 关联分析 41

3.9.7 好的报告 41

3.10 基于主机和基于网络的入侵检测 42

3.11 小结 43

4.1 多种方案协同工作 45

第4章 互操作性和关联性 45

4.1.1 CIDF 46

4.1.2 CISL 47

4.2 商业入侵检测系统互操作解决方案 48

4.2.1 OPSEC 48

4.2.2 CCI 48

4.2.3 ISS的ANSA 49

4.3.1 源IP关联 50

4.3 关联性 50

4.3.2 目标IP地址关联 51

4.3.3 欺骗数据包特征关联 51

4.3.4 新攻击特征 53

4.3.5 时间周期 53

4.3.6 记录 56

4.4 SQL数据库 56

4.4.1 载入数据 57

4.4.2 数据缩减 57

4.4.4 交互性能 59

4.4.3 查询支持 59

4.5 小结 60

第5章 基于网络的入侵检测解决方案 61

5.1 商业工具 61

5.2 运行于MS Windows上的系统 61

5.2.1 ISS的RealSecure 62

5.2.2 Axent的NetProwler 64

5.3 基于UNIX的系统 64

5.3.1 NFR (Network Flight Recorder) 64

5.3.2 Cisco的NetRanger 66

5.4 GOTS 66

5.4.1 EPIC2 67

5.4.2 网络入侵检测器(NID) 67

5.4.3 Shadow 68

5.5 评估入侵检测系统 68

5.5.1 Mitre评测中心 68

5.5.3 Lincoln实验室的评估方法 69

5.5.2 InfowarCon 69

5.5.4 ID’99中的ID’Net 70

5.5.5 供应商 70

5.6 小结 71

第6章 对攻击的检测 73

6.1 误报警 73

6.1.1 没有激励,只有响应 73

6.1.2 SYN湮没 75

6.1.3 Back Orifice 76

6.1.4 脆弱性标准 77

6.2 对IMAP的攻击 78

6.2.1 IOI43源端口特征的IMAP攻击 78

6.2.2 III特征的IMAP攻击 78

6.3 SYN/FIN均设为1的端口攻击 79

6.3.1 SYN/FIN均设为1,源端口为65535的攻击 79

6.3.2 对DNS.NFS的攻击 79

6.3.3 关于这种模式跟踪记录的其他答案 80

6.4 应用扫描程序攻击 81

6.4.1 Mscan 81

6.4.2 Mscan的二代产品 82

6.4.3 Access Builder 83

6.5 portmap攻击 84

6.5.1 Rexec 85

6.5.2 POP3 85

6.5.3 目标SGI系统 86

6.5.4 Discard 86

6.5.5 三端口扫描 86

6.5.6 一个古怪的Web扫描 87

6.5.8 SYN/FIN均设为1,源端口为23的扫描模式 88

6.5.7 协议类型扫描工具IP-191 88

6.6 小结 89

第7章 拒绝服务攻击 91

7.1 检测到的拒绝服务跟踪记录 91

7.1.1 广播 91

7.1.2 病态的数据分段 93

7.1.3 echo和chargen 96

7.1.4 我们在玩Doom游戏 96

7.1.5 nmap2.01版 97

7.2.1 land攻击 98

7.2 极少出现的著名程序 98

7.2.2 Ping of Death 99

7.3 小结 100

第8章 情报收集技术 101

8.1 网络和主机映射 101

8.1.1 ICMP主机扫描 102

8.1.2 利用UDP echo请求对主机进行扫描 102

8.1.4 基于网络屏蔽的广播方式 103

8.1.3 ICMP协议广播方式 103

8.1.5 端口扫描 105

8.1.6 扫描特定端口 105

8.1.7 复杂的过程,可能的损害 106

8.1.8 “随机”端口扫描 107

8.1.9 数据库相关性报告 108

8.1.10 SNMP/ICMP 109

8.1.11 FTP传输反射(bounce) 109

8.2.1 来自Web服务器的访问 110

8.2 关于NetBIOS的特殊跟踪记录 110

8.2.2 Null Session 111

8.3 隐秘攻击(stealth attack) 112

8.3.1 直接的隐秘映射技术 113

8.3.2 反向映射 113

8.4 小结 115

第9章 黑客技术介绍 117

9.1 1998年的圣诞前夜 117

9.1.1 占领系统 118

9.1.2 设置侦察扫描 119

9.1.3 开始侦察扫描 121

9.1.4 准备进行杀伤 123

9.1.5 攻击未能奏效 124

9.1.6 现在我真的很生气 125

9.2 攻击者的交易场所 125

9.2.1 全面的工具集 126

9.2.2 培训过程 126

9.2.4 辅导过程 127

9.2.3 无法跟踪的交易方式 127

9.3 通信网络 128

9.3.1 IRC 128

9.3.2 网页 128

9.3.3 电话会议 128

9.3.4 声音邮箱 129

9.3.5 电子函件 129

9.3.6 共享系统 129

9.3.7 FTP货仓 129

9.4 匿名 130

9.5 小结 130

第10章 协同攻击 131

10.1 协同路由跟踪 132

10.2 NetBIOS欺骗 133

10.3 关于TCP RESET 134

10.3.1 内部的SYN/ACK请求 135

10.3.3 RealSecure自动生成RESET 139

10.3.4 欺骗 139

10.3.2 RESET作为TCP劫取的指示器 139

10.3.5 相关问题 140

10.4 SFRP扫描器 140

10.5 基于目标的分析 141

10.5.1 流量数据库的重要性 142

10.5.2 检测新攻击 142

10.6 小结 143

第11章 其他工具 145

11.1 eNTrax 145

11.1.1 按时间进行,由事件推动 145

11.1.2 基于网络的Sensor检测器 146

11.1.3 脆弱性评估 146

11.1.4 策略 146

11.1.5 基于主机的入侵检测 147

11.1.6 结束行 148

11.2 CMDS4.0 149

11.3.1 tripwire的价值 150

11.3 tripwire 150

11.3.2 调整tripwire 151

11.3.3 结束行 151

11.4 nmap 151

11.4.1 发现新的攻击模式 151

11.4.2 随机扫描的特征分析 152

11.4.3 2.02版nmap 153

11.4.4 可开发端口扫描的特征分析 154

11.4.5 nmap的扫描效用 157

11.4.8 nmap结束语 158

11.4.6 TCP fingerprinting 158

11.4.7 序列号预测 158

11.5 小结 159

第12章 风险管理和入侵检测 161

12.1 安全模型中的入侵检测 161

12.1.1 安全策略 162

12.1.2 应当关注的行业活动 162

12.1.3 安全基础结构 162

12.1.6 实施事故处理 163

12.1.5 定期复查 163

12.1.4 实施首选对策 163

12.2 定义风险 164

12.3 风险 165

12.3.1 接受风险 165

12.3.2 降低风险 166

12.3.3 转移风险 168

12.4 定义威胁 168

12.4.1 有多不好--威胁所带来的冲击 169

12.4.2 威胁频率--按年度计算 170

12.4.3 不确定性的识别 170

12.5 风险管理是由美元推动的 171

12.6 一种风险有多危险 172

12.6.1 定量的风险评估 172

12.6.2 定性的风险评估 172

12.6.3 为什么它们不起作用 173

12.7 小结 173

第13章 自动和人工响应 175

13.1.1 压制调速(Throttling) 176

13.1 自动响应 176

13.1.2 SYN/ACK 178

13.1.3 RESETs 178

13.2 蜜罐 178

13.2.1 代理系统 178

13.2.3 空系统 179

13.2.4 蜜罐小结 179

13.2.2 DTK 179

13.3 人工响应 180

13.3.1 遏制事态发展 180

13.3.2 根除问题 183

13.3.3 恢复 184

13.3.4 总结经验教训 185

13.4 小结 186

第14章 入侵检测商业应用实例 187

14.1.1 利益大于投入 188

14.1.2 开支有限 188

14.1 第1部分--与管理部门相关的问题 188

14.1.3 该技术不会影响机构的稳定 189

14.1.4 更大战略中的一部分 190

14.2 第2部分--威胁和脆弱性 191

14.2.1 威胁评估和分析 191

14.2.2 财产识别 192

14.2.3 定价 193

14.2.4 脆弱性分析 193

14.2.5 风险评价 194

14.3 第3部分--权衡和推荐的解决方案 194

14.3.1 定义信息保障风险管理体系结构 195

14.3.2 确定该体系结构中已经就位的部分 195

14.3.3 确定你的提案 195

14.3.4 确定备选对策 196

14.3.5 开支与收益分析 196

14.3.6 项目进度 196

14.4 小结 197

14.3.7 后续步骤 197

第15章 将来的发展方向 199

15.1 增加的威胁 199

15.1.1 改进的工具 200

15.1.2 改进的目标寻找技术 200

15.1.3 机动代码 201

15.1.4 陷门 201

15.2 计算机恐怖主义和2000年问题 203

15.3 受到信任的内部人员 203

15.5 再谈防病毒产业 205

15.4 改进的响应方式 205

15.6 基于硬件的入侵检测 206

15.6.1 Toasters 206

15.6.2 交换网络的入侵检测 206

15.7 纵深防御 207

15.8 基于程序的入侵检测 207

15.9 第63号总统决议和指示(PDD63) 208

15.10 聪明的审计人员 208

15.11 小结 209

返回顶部