15、Snort入侵检测系统的优化与攻击应对策略

Snort入侵检测系统的优化与攻击应对策略

1. Snort检测的隐身技术

Snort能够检测多种隐身技术，这些技术通过特定的数据包类型来实现，不同的数据包类型具有不同的特征。以下是Snort可检测的隐身技术及其对应的数据包类型和描述：
| 数据包类型 | 描述 |
| — | — |
| FIN | 数据包头部仅FIN标志开启 |
| NULL | 无标志开启（正常情况下不应出现） |
| SYN/FIN | 仅SYN和FIN标志存在 |
| XMAS | 仅FIN、URG和PSH标志被设置 |

1.1 Back Orifice（bo）

在20世纪90年代末，地下黑客组织The Cult of the Dead Cow（CDC）创建了远程管理应用程序Back Orifice，它既可用于合法的系统管理，也常被入侵者用作后门程序。使用时，只需诱使他人安装该程序即可。
bo预处理器专注于与Back Orifice工具相关的流量，能检测网络中BO连接尝试的最初时刻并发出警报。配置bo预处理器很简单，只需编辑snort.conf文件并添加以下内容：

preprocessor bo

1.2 实验性预处理器

还有一些其他的预处理器，部分由Snort开发组织之外的团体开发。这些实验性和第三方预处理器具备以下功能：
- 处理ARP欺骗（ARP即地址解析协议，用于在本地以太网网络中查找计算机的IP地址）。
- 积极查找尚未通过签名识别的未知漏洞利用代码。 <