20199111 2019-2020-2 《网络攻防实践》第六周作业

喜你入骨 提交于 2020-04-07 14:16:46

20199111 2019-2020-2 《网络攻防实践》第六周作业

1.实践内容

1.1安全模型

  • 静态安全模型:对网络进行风险分析,制定相应的安全策略,然后采取安全技术作为防护措施,主要针对固定、静态的威胁和环境弱点。

  • PDR安全模型:基于闭环控制理论的时间动态可适应网络安全模型,以经典的网络安全不等式P>D+R(保护、检测、响应)为本质基础,并提出安全性可量化和可计算的观点。

  • P2DR安全模型:基于PDR安全模型提出,增加了Policy分析制定安全策略,并以此为核心,所有的防护、检测、响应都是依据安全策略实施的。

1.2防火墙技术

防火墙指的是置于不同的网络安全域之间,对网络流量或访问行为实施访问控制的安全组件或设备,达到保护特定网络安全域免受非法访问和破坏的安全目标

Linux系统中提供了开源的netfilter/iptables解决方案,可以帮助网络管理员在自己的网络中快速实施防火墙边界保护。具体提供:

  • 检查控制进出网络的网络流量

  • 防止脆弱或不安全的协议和服务

  • 防止内部网络信息的外泄

  • 对网络存取和访问进行监控审计

  • 防火墙可以强化网络安全策略并集成其他安全防御机制

netfilter/iptables工作原理:

在nefilter/iptables防火墙系统中,netfilter组件位于Linux的内核空间中,实现了静态包过滤和状态报文检查(即动态包过滤)基本防火墙功能,此外也支持NAT网络地址转换等其他额外功能,并提供了多层API接口以支持第三方扩展,netfilter具备构建防火墙、NAT共享上网、利用NAT构建透明代理,以及构建QoS或策略路由器等安全功能。Iptables则是工作在Linux用户空间中的防火墙配置工具,通过命令行方式允许用户为nefilter配置各种防火墙过滤和管理规则

netfilter/iptables中包含三个最基本的规则表,分别为用于包过滤处理的filter表、用于网络地址转换处理的nat表,以及用于特殊目的数据包修改的mangle表

iptables的命令的语法为:

iptables -t [table] command [match] [target] 

-t指定配置规则所在的表

command部分是iptables命令的最重要部分,它告诉iptables命令要做什么

Match部分为规则匹配条件,指定数据包与规则匹配所应具有的特征,匹配条件分为两大类:通用匹配和特定协议匹配,通用匹配为可用于采用任何协议的数据包进行的匹配条件

Target部分指定满足匹配条件之后的目标操作,即对与那些规则匹配的数据包执行的处理操作

防火墙也有不足,由于它的先天而无法防范的有:

  • 来自网络内部的安全威胁

  • 通过非法外联的网络攻击

  • 计算机病毒传播

由于技术瓶颈技术而无法防范的有:

  • 针对开放服务安全漏洞的渗透攻击

  • 针对网络客户端程序的渗透攻击

  • 基于隐蔽通道进行通信的特洛伊木马或僵尸网络

1.3网络入侵检测

评估指标:

  • 检测率:系统捕获到的攻击行为与全部攻击行为比值

  • 误报率:对正常行为的误报数与全部报警数的比值

检测技术:

  • 误用检测:假设所有的入侵行为都有可以被检测的特征。通过收集已知入侵行为的特征,形成指纹库,对每个行为进行比对来判定是不是入侵

  • 异常检测:假设入侵者的行为和正常用户的行为具有差异,利用这些差异可以检测出入侵行为

Snort 体系结构:

  • 数据包嗅探模块——负责监听网络数据包

  • 预处理模块——该模块用相应的插件来检查原始数据包,从中发现原始数据的“行为”,如端口扫描,IP碎片等,数据包经过预处理后才传到检测引擎

  • 检测模块——该模块是Snort的核心模块。当数据包从预处理器送过来后,检测引擎依据预先设置的规则检查数据包,一旦发现数据包中的内容和某条规则相匹配,就通知报警模块

  • 报警/日志模块——经检测引擎检查后的Snort数据需要以某种方式输出。如果检测引擎中的某条规则被匹配,则会触发一条报警,这条报警信息会通过网络、UNIXsocket、WindowsPopup(SMB)、SNMP协议的trap命令传送给日志文件,甚至可以将报警传送给第三方插件(如SnortSam),另外报警信息也可以记入SQL数据库

Snort的每条规则都可以分成逻辑上的两个部分:规则头和规则体

规则头:

  • pass—动作选项pass将忽略当前的包,后继捕获的包将被继续分析

  • log—动作选项log将按照自己配置的格式记录包

  • alert—动作选项alert将按照自己配置的格式记录包,然后进行报警。它的功能强大,但是必须恰当的用,因为如果报警记录过多,从中攫取有效信息的工作量增大,反而会使安全防护工作变得低效

  • dynamic—动作选项dynamic是比较独特的一种,它保持在一种潜伏状态,直到activate类型的规则将其触发,之后它将像log动作一样记录数据包

  • activate—动作选项activate功能强大,当被规则触发时生成报警,并启动相关的dynamic类型规则

规则体:

规则体的作用是在规则头信息的基础上进一步分析,有了它才能确认复杂的攻击

下面是一个规则实例

alert tcp !192.168.0.1/24 any ->any 21 (content:"USER";msg: "FTP Login";)

alert表示规则动作为报警

tcp表示协议类型为TCP协议

!192.168.0.1/24表示源IP地址不是192.168.0.1/24

第一个any表示源端口为任意端口

->表示发送方向操作符

第二个any表示目的IP地址为任意IP地址

21表示目的端口为21

content:"USER"表示匹配的字符串为“USER”

msg:"FTPLogin"表示报警信息为“FTPLogin”

2.实践过程

2.1防火墙配置

机器 IP地址
Kali 192.168.6.3
MetaSploitable Linux 192.168.6.125
SEED Ubuntu 192.168.6.5

2.1.1过滤ICMP数据包,使主机不接受ping包

首先使用 seed ping接kali ,此时可以ping通

在kali中输入:

iptables -A INPUT -p icmp -j DROP #使得主机不接受icmp的数据包

此时再尝试ping接,失败

输入iptables -L查看规则,看到不接受icmp的数据包的规则

配置成功

最后输入iptables -F删除自定义规则,此时又可ping通

2.1.2只允许特定IP地址访问主机的某一网络服务,而其他IP地址无法访问

使用kali与seed进行telnet连接,此时可以连接

在seed中输入:

iptables -P INPUT DROP #拒绝一切的数据包流入

iptables -A INPUT -p tcp -s 192.168.6.3 -j ACCEPT #接受来自kali的数据包

此时,kali与seed可以telnet连接,meta无法与seed进行telnet连接

设置成功

同上进行自定义规则删除

2.2Snort

将之前实验使用过的listen.pcap文件拖拽入kali桌面,输入命令:

snort -r listen.pcap -c /etc/snort/snort.conf -K ascii #对listen.pacp进行入侵检测

看到检测出的数据包大多为Tcp数据包

在/var/log/snort/目录下打开alert文件,得到很多其他信息

2.3分析蜜网网关的防火墙和IDS/IPS配置规则

  • 数据控制

打开iptables配置文件,输入:

vim /etc/init.d/rc.firewall


  • 对于属于黑名单的主机,丢弃所有包

  • 对于属于白名单的主机,接受数据包

  • 对于属于防护名单中的,是不允许被外部访问的蜜罐主机

  • 输入iptables -L可以查看实际规则列表,看到默认的规则OUTPUT、INPUT、FORWARD都已经被关闭了

  • 输入vim /etc/init.d/snortd,查看snort的脚本文件,可以看到实际运行时候的参数

  • 输入vim /etc/init.d/hw-snort_inline 打开snort_inline的脚本文件,可以获取Snort_inline实际执行参数

  • 输入chkconfig --list | grep [服务]来查询当前服务是不是开启的,可以看到防火墙和NIPS(snort_inline)是跟随系统启动的,NIDS是需要手动启动的

  • 输入vim /etc/honeywall.conf,打开honeywall配置文件,可以看到snort默认为不自动更新

3.学习中遇到的问题及解决

  • 问题1:2.3中部分指令无法执行

  • 问题1解决方案:获取更高权限(仍有无法执行的命令还未解决)

4.实践总结

本次实验操作部分偏少,分析内容偏多,做起来有些吃力,借鉴了一些同学的博客之后才有所进展,还需继续加深原理方面的理解。

参考资料

易学教程内所有资源均来自网络或用户发布的内容,如有违反法律规定的内容欢迎反馈
该文章没有解决你所遇到的问题?点击提问,说说你的问题,让更多的人一起探讨吧!