您当前的位置:首页 > 电脑百科 > 网络技术 > 网络安全

局域网中的攻击溯源是什么?

时间:2023-01-09 15:48:34  来源:  作者:埃文科技

由于目前NAT技术的大量使用,若攻击者主机位于NAT后面,使用私网IP地址,对于攻击源的追踪只能到攻击者的NAT网关,而无法穿透NAT网关。因此, 假设已知攻击者来自于某个 NAT网关保护的私有网络, 如何定位攻击者主机在私网中的位置?

 

这一问题在有线网络比较容易解决,因为NAT网关只进行IP地址和端口的转换,对数据包的内容和大部分头部信息并不进行修改,即使数据包的内容经过了加密。因此只要对公网的数据流和私网的数据流进行监控,根据IP头部中的信息,如序列号,就可以把公网数据流和私网数据流关联起来,从而知道攻击者的私网IP地址和mac地址。

《Source attribution for.NETwork address translated forensic captures》研究了经NAT地址转换的数据包来源识别问题,指出NAT服务器一般不会更改原IP数据包头中的序列号。对于windows系统, 数据流中的包头的序列号通过每次加1的方式进行增长,这可以用于判断来自同一台主机的数据包。而对于linux系统,由于采用序列号随机化的方式,前述特征无法用于Linux主机,但可以通过Http协议报头中的时戳、cookie等来判断。

《A layer-2 extension to hash-based IP traceback, IEICE Transactions Information and Systems》基于其它研究员的数据包记录的方法,提出了一种2层网络的攻击源追踪方法,即在已知离攻击者主机最近的路由器的情况下,在内网中确定攻击者的主机。

该方法通过在路由器上记录数据包的MAC地址、来自交换机的哪个端口、来自路由器的哪个端口,通过建立这些信息的摘要表,从而能快速识别出攻击者主机所在的子网。

而《IP traceback in a switched ethernet network》中的研究员认为上一个的方法在实际2层交换网络中部署困难。基于《Single packet IP traceback in AS-level partial deployment scenario》中的方法结合交换机中的审计记录,提出一种新的攻击溯源方法, 实现即使只有一个攻击数据包,也可以进行追踪。

在无线局域网中,这一问题就比较困难了,因为无线路由器不仅要进行IP地址的转换, 而且会对IP数据包,包括IP头部进行加密,如WPA算法,这样就无法通过内、外网数据流的观察来进行关联。

《Identifying mobiles hiding behind wireless routers》对这一问题进行了研究,利用数据包的大小在数据流中填加水印,从而对内、外网数据流进行关联。

具体来说,该方法是针对数据流从外网流入内网的攻击者主机的情况,在外网中能够控制相关的数据流, 选择一个作为水印的特征码,然后随机选择数据流中的多个数据包,用大小为700字节的数据包代表码元 0,1000字节的数据包代表码元1若选择的数据包超过所代表码元的数据包大小,则把该数据包按码元大小进行分组。

若小于,则重新选择下一个数据包。之所以选择这两个数据包字节大小,是因为经过对802.11数据帧进行统计,具有500—1000字节大小的数据帧很少, 可以避免误报。

这样在内网中检测数据流中所嵌入的特征码, 则可以将内、外网数据关联起来。

但这一方法不能用于从内网流出到外网的情况,例如在内网中的攻击者向外发动攻击的时候在外网发现攻击数据流,需要定位内网的主机位置,目前还未发现有相关文献对这个问题进行研究。

《Identifying mobiles hiding behind wireless routers,》中能够获得内网中攻击者主机的IP地址和MAC地址,但在大型公共场合的无线网络中,如机场、车站、宾馆, 如何定位攻击者主机的物理位置仍然是一个问题。

《3DLoc: three dimensional wireless localization toolkit》对此问题进行了研究, 假设已知攻击者主机的MAC地址, 设计了一套系统来定位目标的物理位置。该系统利用定向天线捕获无线数据帧, 识别出源MAC地址为目标MAC地址的数据帧,利用数据信号强度定位信号的来源方向,通过多个地点的测量,即可以定位出目标的物理位置。

该系统能够对三维空间进行定位,即使攻击者主机位于高楼中,测量地点在楼外,也可以定位出攻击者主机所在的楼层房间。



Tags:攻击溯源   点击:()  评论:()
声明:本站部分内容及图片来自互联网,转载是出于传递更多信息之目的,内容观点仅代表作者本人,如有任何标注错误或版权侵犯请与我们联系(Email:2595517585@qq.com),我们将及时更正、删除,谢谢。
▌相关推荐
由于目前NAT技术的大量使用,若攻击者主机位于NAT后面,使用私网IP地址,对于攻击源的追踪只能到攻击者的NAT网关,而无法穿透NAT网关。因此, 假设已知攻击者来自于某个 NAT网关...【详细内容】
2023-01-09  Tags: 攻击溯源  点击:(0)  评论:(0)  加入收藏
背景攻击溯源作为安全事故中事后响应的重要组成部分,通过对受害资产与内网流量进行分析一定程度上还原攻击者的攻击路径与攻击手法,有助于修复漏洞与风险避免二次事件的发生。...【详细内容】
2021-01-22  Tags: 攻击溯源  点击:(283)  评论:(0)  加入收藏
▌简易百科推荐
由于目前NAT技术的大量使用,若攻击者主机位于NAT后面,使用私网IP地址,对于攻击源的追踪只能到攻击者的NAT网关,而无法穿透NAT网关。因此, 假设已知攻击者来自于某个 NAT网关...【详细内容】
2023-01-09  埃文科技    Tags:攻击溯源   点击:(0)  评论:(0)  加入收藏
一、问题现象事情起因是突然发现一台oracle服务器外网流量跑的很高,明显和平常不一样,最高达到了200M左右,这明显是不可能的,因为oracle根本不与外界交互,第一感觉是服务器被入...【详细内容】
2023-01-03  互联共商     Tags:肉鸡   点击:(9)  评论:(0)  加入收藏
BT下载,在网络中通过点对点技术,被广泛用来下载或共享大体积文件(如一部电影或大型软件)的一种方式。其中,BT种子文件就是用来记录所需下载文件的具体存放位置、文件的大小、下载...【详细内容】
2022-12-28   IP数据云     Tags:IP种子   点击:(18)  评论:(0)  加入收藏
IT之家12月1日消息,援引国外科技媒体 The Verge 报道,密码管理工具LastPass再次出现数据泄露事件。该公司首席执行官卡里姆・图巴(KarimToubba)在今天发布的博文中表示,黑客访问...【详细内容】
2022-12-01    IT之家  Tags:LastPass   点击:(42)  评论:(0)  加入收藏
每次你上网,都有人在追踪你。你使用的服务、访问的网站、手机上的应用程序、智能电视、游戏机和任何联网设备都可以借助安装在网页或软件中的追踪服务收集你的数据。这些网...【详细内容】
2022-11-30  老李讲安全  今日头条  Tags:网络行踪   点击:(35)  评论:(0)  加入收藏
进入工业互联网时代,当一台台OT设备逐步“上网”,即打破了传统工业相对封闭的环境。企业内部工业网络、管理网络与互联网打通,导致大量网络安全威胁从外网向工业内网延伸,这意味...【详细内容】
2022-11-25  观察者网    Tags:网络攻击   点击:(43)  评论:(0)  加入收藏
安全运维基础语言需要掌握的核心是1、掌握Java语言基础知识,能够对Java项目进行安全审计。2、掌握Python语言基础知识,能够编写基于Python的爬虫。3、掌握PHP语言的基础知识,能...【详细内容】
2022-11-24  网安世纪小刘    Tags:网络安全   点击:(26)  评论:(0)  加入收藏
密码管理工具 NordPass 现已发布 2022 年全球最常用的密码名单,结果显示用户仍在使用众所周知的弱密码。统计数据显示,今年全球最常见的密码是“password”,黑客只用了不到一秒...【详细内容】
2022-11-24    IT之家  Tags:密码   点击:(158)  评论:(0)  加入收藏
在无锡的一家电子元器件生产基地,这里被世界经济论坛评选为“灯塔工厂”。可以像乐高积木一样组合拼装的柔性生产线,无论是降低产线投资还是缩短产品上市时间,以数字化重构端到...【详细内容】
2022-11-03  智会社  搜狐号  Tags:安全   点击:(64)  评论:(0)  加入收藏
浏览器劫持是一种恶意程序,通过浏览器插件、BHO(浏览器辅助对象)、Winsock LSP等形式对用户的浏览器进行篡改,使用户的浏览器配置不正常,被强行引导到商业网站。所谓浏览器劫持是...【详细内容】
2022-11-03  数影星球    Tags:浏览器劫持   点击:(36)  评论:(0)  加入收藏
站内最新
站内热门
站内头条