流影之网络扫描行为发现

最新推荐文章于 2024-09-30 09:44:14 发布

abyssalfish_os

最新推荐文章于 2024-09-30 09:44:14 发布

阅读量432

点赞数

分类专栏：流影开源文章标签：网络安全安全威胁分析开源软件安全开源

原文链接：https://abyssalfish-os.github.io/news/netscan/

版权

流影开源专栏收录该内容

15 篇文章 2 订阅

订阅专栏

前言

为了使大家了解流影的功能，我们会不定期发布一些使用介绍使用方面的blog。本文是功能介绍性文章，主要讲解通过流影发现网络扫描行为的使用，相关规则配置方法。

网络扫描简介

网络扫描是实现网络目标信息收集的重要手段之一，是一种十分常见的网络行为。网络扫描不一定都是恶意行为，主要看使用者的目的。一方面，安全人员合理使用网络扫描进行服务监测、网络资产盘点、辅助内网漏洞扫描发现等行为，都是良性的正常行为；另一方面，黑客或攻击者在实施网络攻击的过程中，会不断通过网络扫描技术收集攻击目标信息、扫描目标漏洞，为实施后续攻击做准备，这种网络扫描是恶意的，有可能对目标造成威胁，是需要重点关注的网络扫描行为。

黑客进行网络扫描的过程，一般是踩点后发现目标的存活主机，收集目标主机操作系统信息、开放端口、运行服务的版本信息、网络拓扑，进而发现目标漏洞和脆弱性。以便后续开展漏洞利用，进入目标网络达成攻击。

常见扫描工具

扫描工具以主动式为主，一般过程是主动向扫描目标发送探测包，收集响应包，根据响应指纹匹配，最后输出扫描结果。如Nmap是一款开源的扫描工具，能够快速的扫描大范围的设备并且能提供比较全面的关于网络目标的信息。Nmap扫描探测示例：

其他扫描工具，如Zmap、masscan、rustscan等也是类似于nmap的扫描工具。Nessus是一个功能强大而又简单易用的网络安全扫描工具，可以扫描选定范围内的主机的端口开放情况、提供的服务、是否存在安全漏洞等。

使用流影分析网络扫描行为

流影基于扫描特征统计技术，实现网络扫描行为发现。支持扫描行为识别规则自定义配置，并对网络扫描行为进行了可视化呈现，让用户一眼就能确定网络扫描行为。流影中扫描事件包括IP扫描和端口扫描两类。

IP扫描：针对一个IP地址的扫描行为，主要特征是目标IP上大范围端口的探测，一定时间窗口内出现大量相同特征的探测包。攻击场景下，这种扫描行为说明目标很明确，正在寻求突破口。
端口扫描：针对部分端口（服务）的扫描，主要特征是目标是一个IP段或者范围，一定时间窗口内出现大量相同特征的探测包。攻击场景下，这种扫描行为可能说明攻击者掌握某个服务的漏洞，正在广泛搜集可入侵的目标。

如何在流影中查看和判定网络扫描行为

登录系统后，点击事件主菜单，进入事件告警界面。如果系统已经发现了扫描事件，在筛选区的“事件类型”下，会显示IP扫描和端口扫描的复选标签项。如果没有标签项，说明暂无相关事件类型。如下图所示，表明系统检出了多种类型的事项，两种扫描行为都有事件，可以选中多种事件类型，系统相应进行关联筛选。

柱状图显示事件源和目的事件排行，饼状图显示事件分布情况，最下方是事件列表信息。点击事件ID可以查看该告警事件详情信息，包括源、目的基本信息、事件时序特征和数据特征，如下图所示：对TCP会显示主动握手的时序分布图，从左到右显示源、发生时间、数据包字节大小、流的数量、数据包个数、目的端口分布、目的地址，并显示扫描相关特征列表，让用户一眼就能看懂，辅助对这个事件进行判定。如下图所示，某个ip上的高位端口范围上有大量特征相同的数据包，表明进行了扫描探测。

返回事件列表，选择一个端口扫描的事件进行详情查看，如下图所示：