恶意软件&入侵检测&防火墙 学习笔记

恶意软件

定义

恶意软件是指以恶意的目的蓄意植入系统的软件

分类

包括病毒，蠕虫，逻辑炸弹，后门，僵尸，特洛伊木马等

是否依赖宿主

• 依赖宿主：病毒，后门，逻辑炸弹
• 独立宿主：蠕虫，僵尸

是否复制

• 复制：病毒，蠕虫
• 不复制：逻辑炸弹，后门，僵尸

病毒

通过修改程序达到“感染”其他程序目

阶段：

潜伏阶段，感染阶段，触发阶段，发作阶段

蠕虫

通过自身复制将副本通过网络连接从一个系统传播到另一个系统

特点：

多平台，多攻击点，超速传播，变形，多态，零天攻击，传播工具

拒绝服务攻击DoS

是指服务器拒绝合法用户的网络访问

分布式拒绝服务攻击DDoS

从多个源端发起拒绝服务攻击

入侵检测

入侵检测是收集入侵行为的信息，用以增强入侵阻止系统的能力

黑客：用户入侵行为

恶意软件：软件入侵行为

黑客入侵步骤：

1. 收集信息
2. 挖掘弱点
3. 实施攻击
4. 痕迹清理

方法

1.统计异常检测

• 阈值检测
• 基于形态的检测

2.基于规则的检测

• 异常检测
• 渗透识别

3.审计记录，入侵检测的基本工具

蜜罐技术

蜜罐技术是诱导攻击者攻击虚假的重要系统的手段

• 吸引想要攻击重要系统的攻击者
• 收集攻击者信息
• 吸引攻击者较长逗留时间，使检测方向攻击者的攻击行为响应

口令管理

口令加盐的作用：

• 增加口令长度
• 防止口令文件中出现重复的口令
• 防止des的硬件实现，增大口令破译实现难度

防火墙

要保证所有网络通信都要经过防火墙

只要合法的网络通信可以通过防火墙

防火墙本身不可被攻破

类型

1. 包过滤防火墙
2. 状态检测火墙
3. 应用层防火墙
4. 链接层防火墙

机制

1. 服务控制
2. 用户控制
3. 行为控制
4. 方向控制