9、传输层攻击与防御

传输层攻击与防御

1. 端口扫描

端口扫描是一种与端口扫描类似的侦察方法。不同的是，端口扫描不是枚举单个主机上的可访问服务，而是检查多个主机上单个服务的可用性。从安全角度来看，端口扫描比端口扫描更值得关注，因为它们通常意味着系统已被蠕虫入侵，并正在寻找其他目标进行感染。

如果网络中运行着大量的 Windows 系统（通常是蠕虫攻击的主要目标），那么检测端口扫描比检测端口扫描更重要。然而，即使早期检测到，面对像 SQL Slammer 蠕虫这样的蠕虫，也可能无济于事。这种蠕虫在几分钟内就能感染全球数万个系统，等到检测到蠕虫时，可能已经来不及采取任何措施了。当像 Slammer 这样的快速传播蠕虫首次释放时，编写新的 Snort 签名并分发的时间远远长于蠕虫感染几乎所有易受攻击系统的时间。入侵预防系统在有可靠的签名后可能能够阻止蠕虫，但限制蠕虫的最佳方法是修补它利用的漏洞。不过，检测来自内部网络的端口扫描可以是识别受感染系统的好方法（幸运的是，并非所有蠕虫都像 Slammer 蠕虫那样快速传播）。

Nmap 可以轻松地应用其所有扫描功能来扫描整个网络以查找特定服务。例如，如果攻击者有一个针对 SSH 守护进程的漏洞利用程序，Nmap 可以按如下方式在整个 10.0.0.0/8 子网中查找该服务的所有可访问实例：

[ext_scanner]# nmap -P0 -p 22 -sS 10.0.0.0/8

2. TCP 序列号预测攻击

TCP 没有内置强大的身份验证或加密层，这项任务留给了应用层。因此，TCP 会话容易受到各种攻击，如向 TCP 流中注