60、入侵检测与防护技术全解析

入侵检测与防护技术全解析

1. 入侵检测系统规避技术

攻击者为了绕过入侵检测系统（IDS）并逃避检测，会采用多种技术。以下是几种常见的规避技术：
- 洪泛攻击（Flooding） ：这是一种简单的规避技术，攻击者通过向 IDS 发送大量噪声或虚假流量，使 IDS 不得不利用宝贵的 CPU 和内存资源来分析这些虚假流量。如果 IDS 的性能不足以处理洪泛产生的流量，那么攻击者的入侵活动可能会因过多的虚假流量而被遗漏。即使检测到了真正的攻击，由于 IDS 的 CPU 和内存资源耗尽，其响应也可能会显著延迟。
- 分片攻击（Fragmentation） ：攻击者将攻击拆分成多个数据包，试图绕过那些无法重新组装分片进行分析的 IDS 系统。IDS 要检测这种隐藏在分片中的攻击，必须能够缓存分片数据包，直到收到所有分片，然后重新组装并分析得到的数据流。这需要大量的内存资源，并且是一个处理器密集型操作。此外，分片还可以作为一种高级的洪泛攻击形式，耗尽 IDS 的系统资源。更复杂的是，分片可能会意外或故意乱序发送，增加了 IDS 处理分片数据包的代码复杂度。这种技术通常与 IP 分片相关，但同样适用于 TCP，攻击者可以将攻击分散在多个 TCP 段中。
- 加密攻击（Encryption） ：随着 VPN 和基于 SSL 的 Web 流量及其他流量加密技术的普及，网络 IDS 需要明文数据才能检测攻击。加密使得网络 IDS 变得无效，因为所有信息都被加密，而 IDS 不知道用于加密的密钥，无法解密这些信息。常见的加密流量包括与安全 Web 服务器的 SSL 通信、与 VPN 网关和远程访问