网络安全笔记 #DOS攻击 #CC攻击 #IDS #云镜 #WAF #堡垒机

DOS攻击：

反射型DOS包括： CharGen SNMP NTP SSDP Memcached 放大攻击

直接拒绝服务攻击 ：带宽消耗DoS  

​RST攻击重置  teardrop分片 片偏移改为和上分片重叠或者错开的值

状态耗尽 slowloris http get flood(cc) syn flood 死亡ping(超大数据包) smurf（修改源为受害者） fraggle（udp） 

应用层攻击  SQL injection dos XML bomb attack CSRF DOS 6.僵尸网络和botnet 7.反射型和分布式反射

防御：防火墙设置、IDS、IPS、CDN、流量清洗、抗D服务    增加带宽、负载均衡、限制并发连接数、部署WAF、IP黑名单、验证码技术，定期清理过期session

CC攻击： challenge collapsar

针对WEB程序的DOS攻击，控制多个客户端机器，模拟大量合法用户向目标发送请求，导致资源耗尽，从而无法为真正的用户提供正常服务。通常瞄准资源消耗多 操作 搜索查询、文件上传下载 访问数据库 执行复杂计算 文件系统操作，比起dos，cc更难防御。用了真实的ip地址

攻击者用工具或者脚本控制傀儡机，

CC攻击的方式：

HTTP Flood：通过大量发送HTTP GET或POST请求来消耗服务器资源。

Slowloris：每个连接只发送一小部分数据，使得服务器保持连接状态而占用大量资源。

Application Layer Attacks：针对特定应用层协议（如FTP、SMTP等）进行攻击。

User-Agent Flood：通过伪造不同的用户代理字符串来消耗服务器资源。

SYN Flood：虽然不是典型的CC攻击，但通过发送大量的半开连接请求也会导致服务器资源耗尽。

IDS：

IDS分析网络流量，检测可能的攻击和异常行为。根据网络活动行为特征和规则进行检测，检测到攻击时可以封锁攻击源、通知管理员。及时更新签名库，识别最新的dos攻击，可以与SIEM事件关联，识别更复杂的攻击。设置合理阈值。被动安全工具的，通常旁路部署

可以直路或者旁路，对所有经过的数据包进行检查，根据策略组织流量。旁路模式下IPS类似IDS

云镜：

云镜是腾讯云的云主机安全产品，实时监控，恶意文件查杀、风险发现和修复、系统加固。

一些安全公司可能会将他们的整体安全解决方案称为“云镜”，这类解决方案通常包括防火墙、入侵检测/防护系统（IDS/IPS）、安全信息和事件管理（SIEM）、日志管理和审计等功能。

WAF：

WAF 是一种位于 Web 应用和 Internet 之间的安全设备或软件，它可以识别并阻止对 Web 应用的恶意流量。通过监控、过滤和阻止异常请求，WAF 可以帮助防止各种攻击，如 SQL 注入、跨站脚本（XSS）、命令注入等。

WAF 的原理：

规则匹配：WAF 配置有预定义的规则库，这些规则可以识别出潜在的恶意请求。当请求到达时，WAF 将其与规则库进行比较，如果发现匹配项，则会采取相应的行动，例如拒绝请求、记录事件或发送警报。

行为分析：除了基于规则的检测外，一些高级的 WAF 还支持行为分析功能。这可以通过跟踪用户的活动模式来检测异常行为，即使攻击者试图规避传统的规则匹配方法，也可以识别出来。

学习模式：某些 WAF 支持学习模式，它可以根据正常流量的行为自动创建白名单，只允许符合白名单特征的流量通过。

堡垒机：

堡垒机，也称为运维安全审计系统，是一种网络安全设备，用于监控和记录运维人员对网络内服务器、网络设备、安全设备、数据库等设备的操作行为。它的目的是保障网络和数据不受来自外部和内部用户的入侵和破坏

举个例子，一个公司的IT部门可能使用堡垒机来管理员工对服务器的远程访问。当员工尝试登录服务器时，他们首先需要通过堡垒机进行身份验证。一旦认证成功，堡垒机会根据预设的权限控制员工可以访问的服务器和执行的操作。所有的操作都会被堡垒机记录下来，如果发生安全事件，这些记录可以用来追踪和确定责任人。

堡垒机记录操作的方式通常是通过会话录像和日志审计。它不仅记录命令行操作，还能够捕获图形界面的操作。这些记录包括用户的每一次登录、执行的每一个命令、访问的每一个文件，甚至是每一次屏幕上的点击动作。

在堡垒机上进行操作的流程是这样的：

用户通过堡垒机与目标设备建立连接。

用户在堡垒机上进行认证，通过后才能访问内部网络。

用户在堡垒机上进行操作，这些操作通过堡垒机转发到目标设备。

堡垒机实时记录用户的操作，并将这些记录存储在安全的审计数据库中。

这样，即使用户直接在目标设备上进行操作，所有的操作也都会通过堡垒机进行中转和记录，确保了操作的可追溯性和审计的可能性。这对于遵守合规要求、进行事后分析和调查潜在的安全事件非常重要。