67、网络隐蔽活动与安全防御策略

网络隐蔽活动与安全防御策略

1. 隐蔽网络活动概述

攻击者除了运用基于主机和应用的“逃避”技术外，还会利用隐蔽网络技术在网络内外传输数据，将隐蔽数据“存储”在 TCP/IP 数据包头部，并“规范化”与受攻击主机之间的流量。这些技术通常用于逃避面向数据包的安全控制，如防火墙、路由器访问控制、入侵检测系统以及主机/设备日志记录机制。隐蔽网络活动的目标与隐蔽系统活动一样，是伪装非法网络活动，避免触发可能为取证调查人员提供有用证据的检测或监控控制。

常见的隐蔽网络活动类型包括：
- 隐蔽 TCP 活动
- 隐蔽 shell（流量“规范化”）
- 隐蔽 ICMP 活动

2. 隐蔽 TCP 活动

TCP 头部包含多个可用于传输隐蔽数据的字段和选项，隐蔽 TCP 活动本质上是利用正常 TCP 通信不需要的字段来传输隐蔽“有效负载”。Craig Rowland 在其论文中指出，可使用 TCP 初始序列号（ISN）字段和确认序列号字段来传输隐蔽数据。
- 利用 ISN 字段传输隐蔽数据 ：ISN 字段可容纳 32 位数字，黑客可将想编码的 ASCII 字符生成序列号填充到 ISN 字段，接收主机将序列号转换为 ASCII 等效字符即可恢复编码文本。
- 利用 TCP 确认序列号字段传输隐蔽数据 ：此方法使用 IP 欺骗，通过中间服务器将隐蔽 TCP 数据包中继或“反弹”到远程系统。源系统构造包含伪造源 IP 地址和伪造 TCP SYN 号（含隐蔽编码数据）的数据包，目标 IP 为“反弹”服务器地址，数据包中的源 IP 是代表隐蔽数据目标系统的伪造 I