15、高级psad主题：从签名匹配到操作系统指纹识别

高级psad主题：从签名匹配到操作系统指纹识别

在网络安全领域，psad是一款强大的工具，它在入侵检测和防范方面发挥着重要作用。本文将深入探讨psad的高级主题，包括签名匹配和操作系统指纹识别等内容。

1. psad_ip_len关键字

psad_ip_len关键字用于指定iptables日志消息中LEN字段的匹配标准。它与psad_dsize关键字类似，但不会减去网络和传输层头部的长度。该关键字支持范围匹配，如n:m、 n的形式。例如，要测试LEN字段是否大于100字节但小于200字节，可以在签名中添加 psad_ip_len: 100:200 。

2. 特定Snort规则检测

通过一些具体的Snort规则，我们可以了解psad如何检测这些规则所代表的流量。

2.1 检测ipEye端口扫描器

ipEye端口扫描器（http://ntsecurity.nu/toolbox/ipeye）是一款运行在Windows系统上的软件，用于对远程主机进行端口扫描。Snort规则ID 622可检测网络中是否使用了ipEye扫描器：

alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"SCAN ipEye SYN scan"; 
flags:S; seq:1958810375; reference:arachnids,236; classtype:attempted-recon; 
sid:622; psad_id:100197; psad_dl:2;)
<