流量分析以及NIDS系统

已于 2024-05-21 15:28:03 修改
阅读量439 收藏 1
点赞数 10
文章标签： web安全
于 2024-03-27 22:36:59 首次发布
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/ka_ka11/article/details/137091998
版权

相关链接

ytraister-CSDN博客

规则库

Proofpoint Emerging Threats Rules

在线转化

在线JSON校验格式化工具（Be JSON）

类型解析文件

event_type类型解析.txt - 蓝奏云

安装方法

suricata安装与配置-CSDN博客

官方文件

6.3. IP关键字 — Suricata 7.0.0-dev 文档

Suricata User Guide — Suricata 8.0.0-dev documentation

视频学习

流量分析与NIDS系统-蜗牛学苑

suricata安装与配置

yum install epel-release yum-plugin-coper
yum copr enable @osif/suricata-6.0
yum install suricata

重要配置

在/var/log/suricata目录下面

eve.json 以json的形式格式储存信息

fast.log 预警核心文件‘

stats.log suricata的统计信息

suricata suricata程序运行日志文件

在/etc/suricata目录下的suricata为配置的文件

启动

启动时建议先在规则文件中添加一条规则

# ens33为监听的网卡，在/etc/suricata/目录下启动
suricata -c suricata.yaml -i ens33

# 后台启动
suricata -c suricata.yaml -i ens33 -D

suricata 识别http攻击

定义http攻击类型
config classification: web-status-attack,web服务器状态异常,4
config classification: web-scan-injection,web页面扫描攻击,2
config classification: web-sql-error,SQL注入攻击,1
config classification: web-xss-injection,xss跨站攻击,2
config classification: web-ssrf-attack,SSRF请求伪造,2
config classification: web-shell-attack,站点木马植入,1
config classification: web-file-upload,文件上传攻击,1
url地址栏异常

404状态码

# 404状态码
alert http any any <> $HOME_NET 80 (msg:"web服务器出现404状态码"; content: "404"; http_stat_code; sid: 561001;)
alert http any any <> any $HTTP_PORTS (msg:"频繁出现404状态码，疑似扫描"; content: "404"; http_stat_code; threshold: type threshold, track by_src, count 5, seconds 20; classtype: web-status-attack; sid: 561002;)

sql注入

# sql注入--url
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击-union"; content: "union"; http_uri; nocase; classtype: web-sql-injection; sid: 561010; rev: 1;)
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击-select"; content: "select"; http_uri; nocase; classtype: web-sql-injection; sid: 561011; rev: 1;)
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击-order by"; content: "order by"; http_uri; nocase; classtype: web-sql-injection; sid: 561012; rev: 1;)
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击-database"; content: "database"; http_uri; nocase; classtype: web-sql-injection; sid: 561013; rev: 1;)
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击-version"; content: "version"; http_uri; nocase; classtype: web-sql-injection; sid: 561014; rev: 1;)
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击-user"; content: "user"; http_uri; nocase; classtype: web-sql-injection; sid: 561015; rev: 1;)
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击-updatexml"; content: "updatexml"; http_uri; nocase; classtype: web-sql-injection; sid: 561016; rev: 1;)
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击-if"; content: "if("; http_uri; nocase; classtype: web-sql-injection; sid: 561017; rev: 1;)
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击-and"; content: "|20|and|20|"; http_uri; nocase; classtype: web-sql-injection; sid: 561018; rev: 1;)
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击---"; content: "--"; http_uri; pcre: "/\++|\s+/i"; nocase; classtype: web-sql-injection; sid: 561019; rev: 1;)

xss

# xss
alert http any any -> any $HTTP_PORTS (msg:"跨站脚本攻击-<script>"; content: "<script>"; http_uri; nocase; classtype: web-xss-attack; sid: 561020; rev: 1;)

ssrf

#ssrf
alert http any any -> any $HTTP_PORTS (msg:"服务器请求伪造-file"; content: "file|3A|"; http_uri; nocase; classtype: web-ssrf-attack; sid: 561030; rev: 1;)

木马脚本

# 木马脚本--url
alert http any any -> any $HTTP_PORTS (msg:"URL地址木马"; content: "<?"; http_uri; pcre: "/eval|assert|system\(|exec|$_POST|$_GET/i"; classtype: web-shell-attack; sid: 561040; rev: 1;)
post 请求异常

处理post请求与get请求一致，只是需要将http_url换成http.request或者http_client_body即可

# sql注入--post--请求体
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击-post"; content: "="; http.request_body; pcre: "/select/i"; http.content_type; content: "x-www-form-urlencoded"; classtype: web-sql-injection; sid: 561050; rev: 1;)

检测post请求正文是否存在木马关键字

# 木马脚本--post
alert http any any -> any $HTTP_PORTS (msg:"POST木马脚本"; content: "="; http.request_body; pcre: "/eval/i"; http.content_type; content: "x-www-form-urlencoded"; classtype: web-shell-attack; sid: 561060; rev: 1;)
请求头处理
# sql注入攻击-请求头版
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击--请求头"; http.header; content: "="; pcre:"/select/i"; classtype: web-sql-injection; sid: 56160; rev: 1;)
业务逻辑检测
# 业务逻辑版本--多次登录爆破
alert http any any <> any $HTTP_PORTS (msg:"多次登录爆破"; content: "login.php"; http_uri; threshold: type threshold, track by_src, count 5, seconds 10; sid: 561070;)

suricata 处理文件上传流量

文件保存配置

- file-store
version: 2
enabled: yes

疑似上传木马

# 文件上传异常
alert http any any -> any $HTTP_PORTS (msg:"疑似上传木马"; http.method; content:"POST"; http.content_type; content: "multipart/form-data"; http.request_body; content: "Content-Disposition"; http.request_body; pcre: "/eval|assert|system\(|exec|$_POST|$_GET/i"; filestore; classtype: web-file-upload; sid: 561080; rev: 1;)

webshell流量分析及suricata 规则

# 蚁剑
alert http any any <> any $HTTP_PORTS (msg:"发现蚁剑流量特征"; http.request_body; content: "="; pcre:"/display_errors|set_time_limit/i"; nocase; classtype: web-shell-connect; sid: 561090; rev: 1;)
# 冰蝎3.0
alert tcp any any <> any $HTTP_PORTS (msg:"疑似冰蝎流量特征"; dsize: >1000; classtype: web-shell-connect; sid: 561100; rev: 1;)
# 冰蝎3.0
alert http any any <> any $HTTP_PORTS (msg:"发现冰蝎流量特征"; http.header; content: "no-cache"; pcre:"/Pragma|Cache-Control|e45e329feb5d925b/i"; classtype: web-shell-connect; sid: 561120; rev: 1;)
# 哥斯拉
alert http any any <> any $HTTP_PORTS (msg:"发现哥斯拉流量特征"; http.header; content: "="; pcre:"/Cookie: PHPSESSID=[a-z0-9]+\;|application\/xhtml+xml|application\/xml/i"; classtype: web-shell-connect; sid: 561120; rev: 1;)

suricata检测tcp和icmp

alert icmp any any <> $HOME_NET any (msg:"icmp载荷过大"; dsize: >100; sid: 561130; rev: 1;)
alert icmp any any <> $HOME_NET any (msg:"icmp载荷过大,次数过多"; dsize: >100; itype: 8; threshold: type threshold, track by_src, count 6, seconds 10; sid: 561140; rev: 1;)
alert icmp any any <> $HOME_NET any (msg:"icmp次数过多"; threshold: type threshold, track by_src, count 6, seconds 10; sid: 561150; rev: 1;)
alert icmp any any <> $HOME_NET any (msg:"icmp载荷过大"; dsize: >100; sid: 561160; rev: 1;)
tcp流量识别

TCP Flood

alert tcp any any -> $HOME_NET any (msg:"TCP泛洪"; flow: established, to_server; threshold: type threshold, track by_src, count 60, seconds 30; sid: 561170; rev: 1;)

flow: established, to_server;匹配已经建立的到服务器方向

SYN Flood

alert tcp $EXTERNAL_NET 10000: -> $HOME_NET 0:1023 (msg:"syn 泛洪"; flags: S; flow: to_server; dsiz:>900; threshold: type both, count 20, seconds 120,  track by_src; sid: 561170; rev: 1;)

flow: to_server; 匹配到服务器方向

cc 攻击

alert http any any -> $HOME_NET any (msg:"cc攻击"; flow: established,to_server; threshold: type both, count 20, seconds 20,  track by_src; http.method; content:"GET"; http.uri; content:"/?id="; sid: 561180; rev: 1;)

suricata检测mysql和ssh

# mysql暴力破解
alert tcp any any <> any $MYSQL_PORTS (msg:"MYSQL 暴破攻击"; content: "Access denied for user"; nocase; threshold: type threshold, track by_src, count 5, seconds 20; sid: 561190;)

alert tcp any any <> any $MYSQL_PORTS (msg:"MYSQL登录失败-16"; content: "|4163636573732064656e69656420666f7220757365|"; sid: 561200;)
# ssh
alert ssh any any <> any 22 (msg:"SSH登录失败-16"; content: "|1500000000000000000000|"; sid: 561210;)

alert ssh any any <> any 22 (msg:"多次SSH登录失败-16"; content: "|1500000000000000000000|"; threshold: type threshold, track by_src, count 5, seconds 20; sid: 561210;)

suricata在本机的使用ips

1.需要启动iptables

环境配置

yum install -y iptables-services

判断nfq在启动状态

2.转发到nfq

nfq将网络包处理委托给用户态软件
iptables -I INPUT -j NFQUEUE
放开80端口
iptables -I INPUT -p tcp --dport 8888 -j ACCEPT
阻止IP访问
iptables -I INPUT -p tcp -s 192.168.138.1--dport 80 -j DROP
删除
iptables -D INPUT 1
suricata -c suricata.yaml -q 0
全部扔给suricata，导致suricata崩溃之后，访问网络受到影响
iptables -I INPUT -j NFQUEUE
在交给用户态软件之前，加一条22端口开放
iptables -I INPUT -p tcp --dport 22 -j ACCEPT
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击-and"; content: "|20|and|20|"; http_uri; nocase; classtype: web-sql-injection; sid: 561011; rev: 1;)

suricata在网关的使用ips

是否允许端口转发

iptabels路由转发_iptables路由转发-CSDN博客

# 访问192.168.138.130:8888时，将流量转发给192.168.138.150:8080
iptables -t nat -A PREROUTING -d 192.168.138.130 -p tcp --dport 8888 -j DNAT --to-destination 192.168.138.150:8080

# 192.168.138.150:8080来的流量，交给192.168.138.130:8888进行响应
iptables -t nat -A POSTROUTING -d 192.168.138.150 -p tcp --dport 8080 -j SNAT --to-source 192.168.138.130

# 使用iptables -nL -t nat 查看转发规则

# 转发端口放行
iptables -t filter -I FORWARD -j ACCEPT

# 目标服务器开启访问白名单
firewall-cmd --permanent --add-rich-rule='rule family="ipv4" source address="192.168.229.1/24" port protocol="tcp" port="80" accept'

firewall-cmd命令大全

命令firewalld和firewall-cmd用法_systemctl start firewalld.service-CSDN博客

suricata https

配置nginx反向代理，https协议

下载

http://nginx.org/download/nginx-1.21.0.tar.gz
tar -zxvf nginx-1.21.0.tar.gz

安装

yum install nginx

证书生成

nginx.conf

📎nginx.conf

自定义规则包

# 将文件名改成suricata.rules
# 404状态码
alert http any any <> $HOME_NET 80 (msg:"web服务器出现404状态码"; content: "404"; http_stat_code; sid: 561001;)
alert http any any <> any $HTTP_PORTS (msg:"频繁出现404状态码，疑似扫描"; content: "404"; http_stat_code; threshold: type threshold, track by_src, count 5, seconds 20; classtype: web-status-attack; sid: 561002;)
# sql注入--url
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击-union"; content: "union"; http_uri; nocase; classtype: web-sql-injection; sid: 561010; rev: 1;)
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击-select"; content: "select"; http_uri; nocase; classtype: web-sql-injection; sid: 561011; rev: 1;)
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击-order by"; content: "order by"; http_uri; nocase; classtype: web-sql-injection; sid: 561012; rev: 1;)
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击-database"; content: "database"; http_uri; nocase; classtype: web-sql-injection; sid: 561013; rev: 1;)
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击-version"; content: "version"; http_uri; nocase; classtype: web-sql-injection; sid: 561014; rev: 1;)
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击-user"; content: "user"; http_uri; nocase; classtype: web-sql-injection; sid: 561015; rev: 1;)
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击-updatexml"; content: "updatexml"; http_uri; nocase; classtype: web-sql-injection; sid: 561016; rev: 1;)
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击-if"; content: "if("; http_uri; nocase; classtype: web-sql-injection; sid: 561017; rev: 1;)
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击-and"; content: "|20|and|20|"; http_uri; nocase; classtype: web-sql-injection; sid: 561018; rev: 1;)
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击---"; content: "--"; http_uri; pcre: "/\++|\s+/i"; nocase; classtype: web-sql-injection; sid: 561019; rev: 1;)
# xss
alert http any any -> any $HTTP_PORTS (msg:"跨站脚本攻击-<script>"; content: "<script>"; http_uri; nocase; classtype: web-xss-attack; sid: 561020; rev: 1;)
#ssrf
alert http any any -> any $HTTP_PORTS (msg:"服务器请求伪造-file"; content: "file|3A|"; http_uri; nocase; classtype: web-ssrf-attack; sid: 561030; rev: 1;)
# 木马脚本--url
alert http any any -> any $HTTP_PORTS (msg:"URL地址木马"; content: "<?"; http_uri; pcre: "/eval|assert|system\(|exec|$_POST|$_GET/i"; classtype: web-shell-attack; sid: 561040; rev: 1;)
# sql注入--post--请求体
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击-post"; content: "="; http.request_body; pcre: "/select/i"; http.content_type; content: "x-www-form-urlencoded"; classtype: web-sql-injection; sid: 561050; rev: 1;)
# 木马脚本--post
alert http any any -> any $HTTP_PORTS (msg:"POST木马脚本"; content: "="; http.request_body; pcre: "/eval/i"; http.content_type; content: "x-www-form-urlencoded"; classtype: web-shell-attack; sid: 561060; rev: 1;)
# sql注入攻击-请求头版
alert http any any -> any $HTTP_PORTS (msg:"SQL注入攻击--请求头"; http.header; content: "="; pcre:"/select/i"; classtype: web-sql-injection; sid: 56160; rev: 1;)
# 业务逻辑版本--多次登录爆破
alert http any any <> any $HTTP_PORTS (msg:"多次登录爆破"; content: "login.php"; http_uri; threshold: type threshold, track by_src, count 5, seconds 10; sid: 561070;)
# 文件上传异常
alert http any any -> any $HTTP_PORTS (msg:"疑似上传木马"; http.method; content:"POST"; http.content_type; content: "multipart/form-data"; http.request_body; content: "Content-Disposition"; http.request_body; pcre: "/eval|assert|system\(|exec|$_POST|$_GET/i"; filestore; classtype: web-file-upload; sid: 561080; rev: 1;)
# 蚁剑
alert http any any <> any $HTTP_PORTS (msg:"发现蚁剑流量特征"; http.request_body; content: "="; pcre:"/display_errors|set_time_limit/i"; nocase; classtype: web-shell-connect; sid: 561090; rev: 1;)
# 冰蝎
#alert tcp any any <> any $HTTP_PORTS (msg:"疑似冰蝎流量特征"; dsize: >1000; classtype: web-shell-connect; sid: 561100; rev: 1;)
alert http any any <> any $HTTP_PORTS (msg:"发现冰蝎流量特征"; http.header; content: "no-cache"; pcre:"/Cache-Control|e45e329feb5d925b/i"; classtype: web-shell-connect; sid: 561110; rev: 1;

# 哥斯拉



# icmp
alert icmp any any <> $HOME_NET any (msg:"icmp载荷过大"; dsize: >100; sid: 561130; rev: 1;)
alert icmp any any <> $HOME_NET any (msg:"icmp载荷过大,次数过多"; dsize: >100; itype: 8; threshold: type threshold, track by_src, count 6, seconds 10; sid: 561140; rev: 1;)
alert icmp any any <> $HOME_NET any (msg:"icmp次数过多"; threshold: type threshold, track by_src, count 5, seconds 10; sid: 561150; rev: 1;)

# 泛洪
alert tcp any any -> $HOME_NET any (msg:"TCP泛洪"; flow: established, to_server; threshold: type threshold, track by_src, count 20, seconds 30; sid: 561170; rev: 1;)
#alert tcp $EXTERNAL_NET 10000: -> $HOME_NET 0:1023 (msg:"syn 泛洪"; flags: S; flow: to_server; dsize:>900; threshold: type both, count 20, seconds 120,  track by_src; sid: 561170; rev: 1;)
alert http any any -> $HOME_NET any (msg:"cc攻击"; flow: established,to_server; threshold: type both, count 20, seconds 20,  track by_src; http.method; content:"GET"; http.uri; content:"/?id="; sid: 561180; rev: 1;)


# mysql
alert tcp any any <> any 3306 (msg:"MYSQL 暴破攻击"; content: "Access denied for user"; nocase; threshold: type threshold, track by_src, count 5, seconds 20; sid: 561190;)
alert tcp any any <> any 3306 (msg:"MYSQL登录失败-16"; content: "|4163636573732064656e69656420666f7220757365|"; sid: 561200;)


# ssh
alert ssh any any <> any 22 (msg:"SSH登录失败-16"; content: "|1500000000000000000000|"; sid: 561210;)

alert ssh any any <> any 22 (msg:"多次SSH登录失败-16"; content: "|1500000000000000000000|"; threshold: type threshold, track by_src, count 5, seconds 20; sid: 561220;)

ES--日志处理

安装

Su+ELK实现网络监测（2）——ELK安装与配置_elk部署监测-CSDN博客

配置--允许远程登录访问

transport.tcp.compress: true
transport.tcp.port: 9300

network.publish_host: 192.168.138.160                        # 本机ip
node.master: true                                           # 允许成为主节点
node.data: true                                             # 允许成为数据节点

#xpack.security.enabled: true                              # 建议关闭或不设置，若设置了有很多非常麻烦的事
#xpack.security.transport.ssl.enabled: true
http.cors.enabled: true
http.cors.allow-origin: "*"
http.cors.allow-methods: OPTIONS, HEAD, GET, POST, PUT, DELETE
http.cors.allow-headers: "X-Requested-With, Content-Type, Content-Length, X-User"

indices.query.bool.max_clause_count: 8192
search.max_buckets: 100000

启动--不允许root用户启动

su es
./elasticSearch

kibana

安装

Su+ELK实现网络监测（2）——ELK安装与配置_elk部署监测-CSDN博客

配置

📎kibana.yml

启动

./kibana --allow-root 启动

filebeat

下载

https://artifacts.elastic.co/downloads/beats/filebeat/filebeat-7.6.0-linux-x86_64.tar.gz

修改filebeat.yml

filebeat.config.modules:
  path: /opt/filebeat/filebeat-7.6.0-linux-x86_64/modules.d/*.yml
  reload.enabled: true
  reload.period: 10s

启动suricata模块

./filebeat modules enable suricata
./filebeat modules list

对suricata初始化

/opt/filebeat/filebeat-7.6.0-linux-x86_64/modules.d
# Module: suricata
# Docs: https://www.elastic.co/guide/en/beats/filebeat/7.6/filebeat-module-suricata.html

- module: suricata
  # All logs
  eve:
    enabled: true
    var.paths: ["/var/log/suricata/eve.json"]
    # Set custom paths for the log files. If left empty,
    # Filebeat will choose the paths depending on your OS.
    #var.paths:

配置连接es 和 kibana

filebeat.config.modules:
  path: /opt/filebeat/filebeat-7.6.0-linux-x86_64/modules.d/*.yml
  reload.enabled: true
  reload.period: 10s

output.elasticsearch.hosts: ["192.168.138.160:9200"]

setup.kibana:
  host: "192.168.138.160:5601"
  protocol: "http"
setup.dashboards.enabled: true
# 测试启动
./filebeat setup -e 
# 正常启动
./filebeat -e

kibana查看

日志实时监控与开机启动

GitHub - djmpink/TailLog: 实时日志（tail log）查看监控客户端工具

[root@localhost ]# cd /usr/lib/systemd/system
[root@localhost /usr/lib/systemd/system]# vim suricata.service
[Unit]
Description=Suricata Intrusion Detection System
After=network.target
	
[Service]
Type=simple
ExecStart=suricata -c /etc/suricata/suricata.yaml -i ens33
PrivateTmp=true
	
[Install]
WantedBy=multi-user.target
[root@localhost /usr/lib/systemd/system]# systemctl daemon-reload	        # 重新加载刷新服务
[root@localhost /usr/lib/systemd/system]# systemctl enable suricata.service	# 设置开机自启
[root@localhost /usr/lib/systemd/system]# systemctl start suricata.service	# 开启
[root@localhost /usr/lib/systemd/system]# systemctl status suricata.service	# 查状态
[root@localhost /usr/lib/systemd/system]# systemctl stop suricata.service	# 关闭
ka_ka11
关注
  • 10
    点赞
  • 踩
  • 1
    收藏
    觉得还不错? 一键收藏
  • 2
    评论
基于网络(NIDS)的入侵检测系统
weixin_30323631的博客
07-22 5052
入侵(Instruction)是个 广义的概念，不仅包括被发起攻击的人取得超出合法权限的系统的控制权，也包括搜集漏洞信息，造成拒绝访问（Denial of service）等对计算机系统造成危害的行为。 通过被动地监测网络上传输的原始流量，对获取的网络数据进行处理，从中提取有用的信息，再通过与已知攻击特征相匹配或与正常网络行为原型相比较来识别攻击事件。此类检测系统不依赖操作系统作...
(转载)Bro：一个开放源码的高级NIDS系统
Kendiv's Box
09-12 3588
Bro：一个开放源码的高级NIDS系统创建时间：2003-10-12文章属性：原创文章提交：stardust (stardust_at_xfocus.org)在介绍Bro之前先总结一下几个常见的开放源码NIDS系统：Snort ( http://www.snort.org/ )目前最著名最活跃的开放源码NIDS项目，定位于轻量级的入侵检测系统，已经实现了网络探测器和许多第三方的管理及日志分析工具，
NIDS协议驱动开发（文档）
03-01
本人学习NIDS所见最好的一份资料。需要源码的联系我~~
一个开放源码的高级NIDS系统(转)
congjukun0600的博客
08-09 169
一个开放源码的高级NIDS系统(转)[@more@]在介绍Bro之前先总结一下几个常见的开放源码NIDS系统：Snort ( http://www.snort.org/ )目前最著名最活跃的开放源码NIDS项目，定位于轻量级的入...
基于网络(NIDS)
u011450981的博客
07-22 7925
                                                                      入侵(Instruction)是个 广义的概念，不仅包括被发起攻击的人取得超出合法权限的系统的控制权，也包括搜集漏洞信息，造成拒绝访问（Denial of service）等对计算机系统造成危害的行为。 通过被动地监测网络上传输的原始流量，对获取的网络数据...
信息安全体系建设☞开源入侵检测系统NIDS
infosec的博客
10-09 2397
我们之前提到在边界处搭建信息安全体系，需要依赖防火墙，但是防火墙就像我们生活当中的一扇门，只是负责开和关我们不能够感知到是谁进来或者谁出去。比如说我们在制定防火墙策略的时候，我们制定的规则是人可以出去，不能进来。但是具体是什么样的人可以进来？什么样的人不能够进来？这个功能防火墙无法满足。入侵检测系统恰恰能够弥补防火墙的这个缺点。对数据包进行深度检测，同时可以利用特征库或者白名单管控网络，也可以通过杀毒引擎对进出的数据包进行病毒查杀。 商业化的入侵检测系统有很多，他们当中很多都是通过开源的入侵检测系统进化而来
Bro：一个开放源码的高级NIDS系统
liweiminlining的专栏
06-17 5148
Bro：一个开放源码的高级NIDS系统
毕业设计-基于深度学习的网络流量异常检测系统
Hai_Lang_IT的博客
03-15 2374
毕业设计-基于深度学习的网络流量异常检测系统：自互联网普及以来，由于经济利益等驱动，网 络病毒和各类网络流量攻击层出不穷，造成了诸多 由于恶意而导致的安全事故，而技术革新与网络拓 扑结构的复杂化也对网络入侵检测系统 （Network Intrusion Detection System，NIDS） 提出了新的要求。 机器学习等较为传统的方式受到稳健性低、准确性 低的限制，难以检测和解决网络入侵异常与突发访 问性异常造成的网络流量异常问题。 在网络入侵检测面临较高挑战的情况下，传统 的统计分析和信号处理等技术
入侵检测系统IDS
小哥(xpc)
11-05 4545
入侵检测系统IDS 与入侵防御系统 IPS
blocksword:一个简单的NIDS系统
03-11
C语言的低级别特性也允许开发者更深入地理解和控制系统的运行过程，从而实现更精确的流量分析和入侵检测。 在NIDS中，检测引擎是核心组件，它负责解析网络流量，识别可能的攻击模式。blocksword的检测引擎可能采用...
信息安全_流量安全分析.heyi.pptx
08-14
通过建立强大的流量分析系统，可以有效地保护玩家数据，防止业务中断，并对游戏内的异常行为进行风险控制。 总的来说，流量安全分析不仅仅是对网络流量的简单监控，而是涉及到深度解析、威胁检测、资产管理和威胁...
NIDS.rar_入侵检测系统_物联网安全_网络安全
09-21
首先，物联网设备的计算资源有限，要求NIDS系统具有低资源消耗和高效运行的能力。其次，物联网环境中的数据流量巨大且多样，需要NIDS具备处理大规模数据和复杂协议解析的能力。最后，物联网设备可能分布在广泛的地理...
nids.rar_NIDS_nids-base_入侵检测 linux_入侵检测系统_网络入侵检测
09-24
NIDS通过分析网络流量，检查是否存在违反安全策略的行为或者已知攻击模式。其工作原理主要包括以下步骤： 1. **数据捕获**：NIDS通过嗅探器（如libpcap库）捕获网络中的原始数据包。 2. **预处理**：对捕获的数据包...
perl-NIDS.rar_NIDS_ids
09-23
NIDS的主要目标是监控网络流量，识别并阻止潜在的恶意活动，如攻击、病毒或未经授权的访问。 NIDS通常工作在数据链路层或网络层，捕获并分析网络上的原始数据包。它们可以被配置为检测已知的攻击模式，例如基于签名...
怎么在网络攻击中屹立不倒
dexun123的博客
08-12 1046
在当今蓬勃发展的网络游戏产业中，服务器安全无疑是企业生存与发展的基石。面对互联网环境中无处不在的DDoS（分布式拒绝服务）与CC（挑战碰撞）攻击威胁，游戏服务器的防御能力与高效处理能力显得尤为重要。相较于追求综合性能平衡的普通服务器，游戏服务器必须专注于构建坚不可摧的安全防线与流畅无阻的游戏体验，以抵御外部侵扰，确保玩家沉浸于无缝的游戏世界。
特洛伊木马：现代网络安全的隐形威胁
weixin_48579910的博客
08-16 623
特洛伊木马是一种伪装成合法软件或文件的恶意程序。攻击者利用这种伪装，使受害者在不知情的情况下主动安装或运行木马，从而为攻击者打开了进入目标系统的大门。与病毒不同，木马并不会自我复制，而是通过社会工程学等手段诱使用户下载和执行。特洛伊木马虽然是网络世界中的“老兵”，但其隐蔽性和多样性使得它至今仍然是网络安全的一大威胁。了解木马的工作原理和危害，并采取适当的防范措施，可以帮助我们在数字化生活中更加安全地航行。
2024年杭州市网络与信息安全管理员（网络安全管理员）职业技能竞赛的通知
Geek极安云科-致力于网络安全事业
08-16 606
竞赛由理论知识和操作技能两部分组成，均采用百分制，小数点后保留两位，60分（含）以上为合格。荣获竞赛一等奖、二等奖的选手，由杭州市人力社保局认定为“杭州市技术能手”，若有不符合认定条件的选手，不再递补；本次竞赛依据《网络与信息安全管理员（网络安全管理员）国家职业技能标准》三级（高级工）等级要求确定技术标准，编制技术文件和命题，适当增加相关新知识、新技术、新技能等内容。1.各区、县（市），有关产业工会，要高度重视此次竞赛，积极发动、广泛宣传、认真组织、严格选拔，推荐综合素质较好、技能水平较高的人员参赛。
网络安全（黑客）自学
最新发布
白帽子凯哥聊黑客
08-20 209
网络安全可以基于攻击和防御视角来分类，我们经常听到的 “红队”、“渗透测试” 等就是研究攻击技术，而“蓝队”、“安全运营”、“安全运维”则研究防御技术。无论网络、Web、移动、桌面、云等哪个领域，都有攻与防两面性，例如 Web安全技术，既有 Web 渗透，也有 Web 防御技术（WAF）。作为一个合格的网络安全工程师，应该做到攻守兼备，毕竟知己知彼，才能百战百胜。
评论 2
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值