logo搜索

迪普科技威胁感知大数据平台安全实践——隐匿隧道攻击检测及防范技术

时间:2021-01-18 18:44:53 作者:本站整理 来源:网络

  短视频,自媒体,达人种草一站服务

内容摘要

什么是隐匿隧道攻击?在实际的网络中,通常会通过各种边界设备、软/硬件防火墙甚至入侵检测系统来检查对外连接情况,如果发现异样,就会对通信进行阻断。如果发起方将数据包按照边界设备所允许的数据包类型或端口进行封装,然后穿过边界设备与对方进行通信,当封装的数据包到达目的地时,将数据包还原,并将还原后的数据包…

什么是隐匿隧道攻击?

在实际的网络中,通常会通过各种边界设备、软/硬件防火墙甚至入侵检测系统来检查对外连接情况,如果发现异样,就会对通信进行阻断。如果发起方将数据包按照边界设备所允许的数据包类型或端口进行封装,然后穿过边界设备与对方进行通信,当封装的数据包到达目的地时,将数据包还原,并将还原后的数据包发送到相应服务器上。这种技术称为隧道技术。

在黑客实际入侵过程中,攻击者在开始与被控制主机通信时,通过利用DNS、ICMP等合法协议来构建隐匿隧道来掩护其传递的非法信息,这类攻击称为隐匿隧道攻击。

隐匿隧道攻击引发的典型安全事件

Google极光攻击

Google Aurora(极光)攻击是一个十分著名的APT攻击。Google的一名雇员点击即时消息中的一条恶意链接,该恶意链接的网站页面载入含有shellcode的JavaScript程序码造成IE浏览器溢出,进而执行FTP下载程序,攻击者通过与受害者主机建立SSL隐匿隧道链接,持续监听并最终获得了该雇员访问Google服务器的帐号密码等信息,从而引发了一系列事件导致这个搜索引擎巨人的网络被渗入数月,并且造成各种系统的数据被窃取。

美国E公司数据泄露事件

E公司是是美国三大个人信用服务中介机构之一,攻击者通过利用隐匿隧道攻击规避了其强访问控制设备、防火墙、入侵检测系统等边界防护措施,导致超过1.47亿个人征信记录被暴露。

隐匿隧道攻击特点

隐匿隧道攻击最典型的特点在于其隐蔽性。为避免非法通信行为被边界设备拦截,攻击者通常会将非法信息进行封装,表面上看似是正常业务流量,实则“危机四伏”。由于大部分边界设备的流量过滤机制依赖于端口和协议,网络攻击检测机制依赖于流量特征,从而无法对这类精心构造的非法信息进行拦截。因此,攻击者可通过与被入侵主机建立隐匿隧道通信连接,达到传递非法信息的目的,如病毒投放、信息窃取、信息篡改、远程控制、利用被入侵主机挖矿等。

常见的隐匿隧道攻击类型

随着目前安全防护措施的不断完善,使用HTTP通信时被阻断的几率不断增大,攻击者开始选择更为安全隐蔽的隧道通信技术,如DNS、ICMP、各种协议over HTTP隧道等。由于DNS、ICMP等协议是大部分主机所必须使用的协议,因此基于DNS协议、ICMP协议构建隐匿隧道通信的方式逐渐成为隐匿隧道攻击的主流技术。

■ DNS隐匿隧道攻击

DNS隧道是将其他协议的内容封装在DNS协议中,然后以DNS请求和响应包完成传输数据(通信)的技术。当前网络世界中的DNS是一项必不可少的服务,所以防火墙和入侵检测设备出于可用性和用户友好的考虑将很难做到完全过滤掉DNS流量,因此,攻击者可以利用它实现诸如远程控制,文件传输等操作,众多研究表明DNS Tunneling在僵尸网络和APT攻击中扮演着至关重要的角色。

■ ICMP隐匿隧道攻击

ICMP隧道是指将TCP连接通过ICMP包进行隧道传送的一种方法。由于数据是利用PING请求/回复报文通过网络层传输,因此并不需要指定服务或者端口。这种流量是无法被基于代理的防火墙检测到的,因此这种方式可能绕过一些防火墙规则。

迪普科技解决方案

网络安全威胁感知大数据平台高效检测隐匿隧道攻击

由于攻击者将非法数据进行封装,利用正常的协议构建隐匿隧道进行非法通信,攻击特征极不明显,因此可轻易躲过现网中基于规则特征检测网络攻击的安全防护措施;而传统的隐匿隧道攻击检测技术大多依赖于简单的统计规则进行检测,如统计请求频率、判断请求数据包大小等,依靠单一维度的检测、分析机制,导致隐匿隧道攻击检测的误报率非常高。

针对隐匿隧道攻击,迪普科技安全算法团队通过收集大量的不同协议的隐匿隧道流量样本进行分析测算,构建出多种隐匿隧道攻击检测模型, 并成功应用到迪普科技网络安全威胁感知大数据平台,如针对DNS隐匿隧道,通过匹配报文中所呈现出的域名信息、域名后缀信息、response应答信息,以及请求频率、请求数据包大小等内容进行综合评估分析;针对ICMP隐匿隧道攻击,通过匹配数据包发送频率、type值、应答信息、payload大小及内容等进行综合分析。有效提升隐匿隧道攻击检测效率,隐匿隧道攻击检出率高达98%以上!

隐匿隧道攻击防范指南

■ 定期采用主流杀毒软件进行查杀,对出现的未知软件及时进行清除。

■ 对有关出站或入站DNS查询的长度、类型或大小等建立规则。

■ 借助网络安全分析设备对用户和(或)系统行为进行分析,可自动发现异常情况,例如访问新域时,尤其是访问方法和频率异常时。

■ 处于生产区的服务器主机在必要时禁止ICMP协议。

阅读全文

相关推荐

上一篇: Smartbi成功入选Gartner增强数据分析2020代表厂商

下一篇: 功能全面的Smartbi和Garnter到底什么关系?

相关文章

龙颜前脸贯穿尾灯 静态体验比亚迪e2
随着电动车市场发展愈加成熟,新推出的车型不仅续航能力显著提升,而且在外观、内饰设计以及配置方面,都有较大的产品力提升,尤其是10-20万区间的市场销售主力车型,进步尤其明显。
龙颜前脸贯穿尾灯 静态体验比亚迪e22021-04-210
试驾福特蒙迪欧插电混动版 百公里油耗2L/纯电续航52km
蒙迪欧插电混动版是长安福特首款插电式混动车型,该车已在2017年11月举办的广州车展上亮相,并即将在3月底上市。动力上该车搭载一套由2.0L自然吸气发动机和电动机组成的混动系统,最大综合续航里程为981km。而本次活动也是首次对该车型进行试驾体验,下面就让我们一起来看看这台车到底如何,关注插电式混动车的朋友可以关注下这款车。
试驾福特蒙迪欧插电混动版 百公里油耗2L/纯电续航52km2021-04-210
带上这些科技去撒野 荣威eRX5非铺装路面体验
新上市的SUV很多,但是能让人过目不忘成为爆款车型的始终是少数,而动手能力较强的荣威推出了RX5系列SUV,从设计研发到量产都独立完成,未上市就引起了各界关注,成为爆款顺理成章。随后推出eRX5插电式混合动力以及ERX5纯电动丰富了产品线,满足消费者对新能源汽车的购车需求。
带上这些科技去撒野 荣威eRX5非铺装路面体验2021-04-210
动力很充沛 诚意略不足 第一电动网友试驾启辰晨风
笔者近日在北京闵庄路东风日产4S店的试乘试驾活动中有幸提前以消费者的身份试驾了东风日产旗下合资自主品牌启辰首款电动车晨风,希望本文为准车主们带来客观的车型评价,文中观点均只代表个人观点。
动力很充沛 诚意略不足 第一电动网友试驾启辰晨风2021-04-210
荣威E50七月登陆北京 竞争北汽E150 EV
荣威E50电动车将于今年7月份登陆北京市场销售,该车由上汽集团自主研发,采用全新的纯电动汽车专用整车平台打造。在登陆北京市场后,荣威E50最大的劲敌就是北汽E150 EV。
荣威E50七月登陆北京 竞争北汽E150 EV2021-04-210
放心去驾驶 新角度测评凯美瑞尊瑞
今天笔者将为大家带来凯美瑞尊瑞一些更贴近生活消费者更关心的话题,比如——空间与电磁安全性。
放心去驾驶 新角度测评凯美瑞尊瑞2021-04-210
返回顶部