16、深入探索psad：从签名匹配到主动响应

深入探索psad：从签名匹配到主动响应

1. 高级psad主题：从签名匹配到操作系统指纹识别

1.1 被动操作系统指纹识别

psad可以通过将SYN数据包中的TCP选项与p0f签名进行匹配，识别出正在访问iptables防火墙的特定远程操作系统。例如，一组选项匹配了p0f指纹S4:64:1:60:M*,S,T,N,W2，对应Linux 2.5（有时是2.4），这是正确的，因为连接尝试是从运行2.6.11内核的机器发起的，而2.5系列是2.6内核的开发系列。要实现此功能，需要在iptables策略中添加默认LOG规则时使用 --log-tcp-options 参数。

1.2 DShield报告

DShield是一个分布式入侵检测系统（http://www.dshield.org），用于收集和报告安全事件数据。它是一个集中的数据仓库，接收来自开源和商业软件（如入侵检测系统、路由器和防火墙）的数据。许多产品可以通过电子邮件或Web界面向DShield提交安全警报。

1.2.1 数据提交

psad支持自动通过电子邮件向DShield提交扫描数据。注册DShield网站后，可以通过编辑 /etc/psad/psad.conf 中的 DSHIELD_USER_ID 变量在电子邮件中包含用户名，但DShield也接受匿名来源的日志信息，因此注册不是必需的。默认情况下，启用DShield报告后，psad每六小时发送一次提交电子邮件，可以通过调整 DSHIELD_ALERT_INTERVAL 变量来控制此间隔