15、Snort入侵检测系统的优化与攻击应对策略

Snort入侵检测系统的优化与攻击应对策略

1. Snort检测的隐身技术与预处理器

1.1 隐身技术检测

Snort能够检测多种隐身技术，不同的数据包类型具有不同的特征，具体如下表所示：
| 数据包类型 | 描述 |
| — | — |
| FIN | 数据包头部仅FIN标志开启 |
| NULL | 无标志开启（正常情况下不应出现） |
| SYN/FIN | 仅SYN和FIN标志存在 |
| XMAS | 仅FIN、URG和PSH标志被设置 |

1.2 Back Orifice预处理器

在20世纪90年代末，一个名为The Cult of the Dead Cow（CDC）的地下黑客组织创建了一个名为Back Orifice的远程管理应用程序，它既可以用于合法的系统管理，也常被入侵者用作后门程序。bo预处理器专注于与Back Orifice工具相关的流量，能检测网络上BO连接尝试的最初时刻并发出适当警报。配置bo预处理器很简单，只需编辑snort.conf文件并添加以下内容：

preprocessor bo

1.3 实验性预处理器

还有一些其他的预处理器，部分由Snort开发组织之外的团体开发。这些实验性和第三方预处理器可以：
- 处理ARP欺骗（ARP即地址解析协议，用于在本地以太网网络中查找计算机的IP地址）。
- 积极查找尚未通过签名识别的未知利用代码。
- 分析标准内部网络中发现的其他协议。