14、深入解析psad：从可疑流量检测到高级攻击识别

深入解析psad：从可疑流量检测到高级攻击识别

1. 端口扫描检测

在网络安全领域，端口扫描是攻击者常用的手段之一，psad在检测这类扫描方面发挥着重要作用。

1.1 TCP扫描

• Nmap SYN扫描的TCP选项 ：在Nmap的SYN扫描中，TCP头部的选项部分明显较短。通常只使用一个选项，即最大段大小（Maximum Segment Size），并将其设置为1460。而大多数真实的TCP栈除了最大段大小外，还会发送多个选项，如时间戳（Timestamp）、无操作（No Operation，NOP）以及是否支持选择性确认（Selective Acknowledgment，SACK）等。
• FIN、XMAS和NULL扫描 ：Nmap的FIN、XMAS和NULL扫描在iptables日志消息中的表现颇为相似，它们的主要区别在于所使用的TCP标志组合，这一差异会在iptables日志格式的TCP标志部分体现出来。可以使用Nmap的 -sF 、 -sN 和 -sX 命令行参数分别发起FIN、NULL和XMAS扫描。例如，发起FIN扫描的命令如下：

[ext_scanner]# nmap -sF -n 71.157.X.X --max-rtt-timeout 5

在正常的TCP通信中，设置FIN标志的TCP数据包是用于表示一方不再有数据要发送并关闭连接。为了有