9、传输层攻击与防御

传输层攻击与防御

1. 端口扫描

端口扫描是一种类似于端口探测的侦察方法。不同的是，端口扫描不是枚举单个主机上可访问的服务，而是检查多个主机上单个服务的可用性。从安全角度来看，端口扫描比端口探测更令人担忧，因为它们通常意味着系统已被蠕虫入侵，并正在寻找其他目标进行感染。

如果网络中运行着大量的 Windows 系统（通常是蠕虫活动的主要目标），那么检测端口扫描比检测端口探测更为重要。然而，即使能够早期检测到，面对像 SQL Slammer 蠕虫这样的快速传播的蠕虫，也可能无济于事。在 Slammer 蠕虫最初爆发时，编写新的 Snort 签名并分发的时间远远长于蠕虫感染几乎所有易受攻击系统的时间。入侵预防系统在有可靠的签名后可能能够阻止蠕虫，但限制蠕虫传播的最佳方法是修补其利用的漏洞。不过，检测来自内部网络的端口扫描可以是识别受感染系统的好方法（幸运的是，并非所有蠕虫都像 Slammer 蠕虫那样快速传播）。

Nmap 可以轻松地利用其所有扫描功能来扫描整个网络中的特定服务。例如，如果攻击者有一个针对 SSH 守护进程的漏洞利用程序，Nmap 可以通过以下命令在整个 10.0.0.0/8 子网中找到该服务的所有可访问实例：

[ext_scanner]# nmap -P0 -p 22 -sS 10.0.0.0/8

2. TCP 序列号预测攻击

TCP 本身没有内置强大的认证或加密层，这项任务留给了应用层。因此，TCP 会话容易受到各种攻击，包括向 TCP 流中注入数据、劫持会话或强制会话关闭。

为了向已建立的 TCP 连接中