6、网络层攻击与防御：iptables 日志分析与应对策略

网络层攻击与防御：iptables 日志分析与应对策略

1. 网络层概述与 iptables 日志记录

网络层作为 OSI 参考模型的第三层，是互联网上数据包端到端路由和传输的主要机制。在 IPv4 网络协议中，数据包的传输涉及诸多安全问题，而 iptables 在网络安全防护中起着重要作用。iptables 能够将 IPv4 头部的几乎每个字段的日志数据写入 syslog，其详细的日志格式有助于检测网络层头部的滥用情况。

1.1 记录 IP 头部

IP 头部由 RFC 791 定义，iptables 在日志消息中会记录部分 IP 头部字段。以下是相关字段的说明：
| 字段 | 含义 | 日志记录情况 |
| ---- | ---- | ---- |
| 源地址（SRC=） | 数据包的源 IP 地址 | 始终记录 |
| 目的地址（DST=） | 数据包的目的 IP 地址 | 始终记录 |
| 总长度（LEN=） | 数据包的总长度 | 始终记录 |
| 生存时间（TTL=） | 数据包在网络中的生存时间 | 始终记录 |
| 协议（PROTO=） | 封装在 IP 头部的协议 | 始终记录 |
| 选项（OPT=） | IP 头部的选项部分 | 需要使用 –log-ip-options 参数才记录 |

例如，发送 ICMP Echo 请求时，iptables 生成的日志消息如下：

Jul 22 15:01:25 iptablesfw kernel: IN=eth0 OUT= 
MAC=0