智能分布式攻击与防御

《智能分布式攻击与防御》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、智能分布式攻击与防御作者：__tone___日期：_2003-12__智能分布式攻击与防御Tone2003.12.23Copyright©Tone2003主要内容•目前分布式攻击介绍Ø类型Ø缺点•智能型分布式攻击Ø体系结构Ø特点Ø小结主要内容•智能型分布式防御Ø体系结构Ø异常行为判定Ø特点Ø实现关键目前分布式攻击类型•弱C/S模式型客户端通过Ftp、Web、Mail等方式和控制端联系。•强C/S模式型Tfn、Tfn2K、Trinoo。目前分布式攻击类型•随机扩散型SQLSlammer、冲击波病毒等•弱C/S模式型+随机扩散型在具备弱C/S模型的基础上，自

2、身具备传播机制，增加了一定程度的随机扩散的功能。目前分布式攻击缺点•可控性差随机扩散型•传播机制单一被动传播、主动传播，传播条件受限•隐藏性差可使用第三方工具如Regmon、Filemon、Fport等发现并清除智能型分布式攻击Ø体系结构Ø特点Ø小结智能分布式攻击体系结构智能型分布式攻击特点•可控性强•隐蔽性强•可更新性•智能性•通信安全保密性可控性•传播可控性总控制端可以控制传播的范围、层次、传播目标等参数。•攻击可控性可以控制攻击的开始时间、停止时间、攻击类型、攻击目标范围、攻击目标特征和攻击进行地层次等参数。•攻击效果可知性客户端及时返回攻击效果至

3、上层，并逐层传递。隐蔽性•Linux基于用户空间隐藏名字欺骗、文件替换•Windows基于用户空间隐藏Ø改变文件属性，名字欺骗相当一部分病毒，木马采用该手段，仍具备较大的迷惑性Ø基于用户空间的APIHook基于用户空间的APIHook•文件隐藏替换Kernel32.dll中的CreateFileA/W、DeleteFileA/W、FindFirstFileA/W、FindNextFileA/W等函数。•注册表隐藏替换Advapi32.dll中的RegOpenKeyExA/W、RegEnumValueA/W、RegEnumKeyExA/W、RegQuery

4、InfoKeyA/W等函数。•进程隐藏替换ntdll.dll中的ZwQuerySystemInformation函数。隐蔽性•Linux基于内核空间的隐藏LKM；注意自身的隐藏；避免输出符号•Windows基于内核空间的隐藏ntrootkit，修改服务描述表进一步研究•内核空间隐藏和用户空间隐藏相结合可更新性•主动更新子结点发送更新请求至父结点或者同层结点•被动更新父结点强制更新子结点，并依次向下更新•智能更新子结点通过自学习进行更新智能性•传播智能性根据不同的传播环境选择不同的传播方式•攻击智能性同层结点或子父结点互相协调，生成最佳攻击方式•未来移动设

5、备智能性手机、PDA、3G、家电、汽车等终端智能型分布式攻击特点•通信安全保密性通信过程安全、保密；具有较好的隐藏性，可采用数字水印的思想•小结理想结果：可智能完成一体化的攻击过程智能型分布式防御Ø体系结构Ø异常行为判定Ø特点Ø实现关键智能型分布式防御体系结构异常行为判定•异常网络行为判定数据包特征值匹配和攻击模式匹配结合•异常主机行为判定挖掘主机特征，正常行为模式特征匹配和异常主机行为匹配相协调•异常“网络+主机”行为判定提高准确度智能型分布式防御特点•尽量在底层解决问题无法处理时，逐级上传至父节点进行处理；处理完毕后子节点更新处理方式并反馈处理结果•

6、可控性父节点可指定子节点的处理方式及添加、删除等智能型分布式防御特点•智能性Ø能够学习本机正常行为，自动进行正常行为建模。Ø对异常的行为具有学习记忆功能。Ø可根据父节点反馈的信息智能更新异常行为判定模式。Ø针对攻击的协同防御。•可更新性同智能型分布式攻击实现关键•高效可靠的检测算法Ø计算机免疫技术Ø神经网络技术Ø遗传算法Ø综合应用数据挖掘、模型推理、关联技术、人工智能等技术•可移动代理技术各节点智能迁移Thanks!