제목대로 입니다.
두 종류의 스캔을 감지하는 방법으로 좋은 효과적인 것이 무었을까요. 직접 구현한다는 전제로...
가장 쉽게 떠오르는 방법은 소스 아이피 일정하고, 데스티네이션 아이피 바뀌면서(시퀀스 하거나 랜덤하거나 관계없이) 같은 데스티네이션 포트로 가는 갯수를 세거나, 일정 DIP에 서로 다른 DPORT로 가는 갯수를 세는 것인데...
효율적인 처리라고 판단이 안서네요.
지혜를 빌려주세요~~
스캔의 기준을 어디에 두는지가 문제가 될것 같습니다.
네트워크 스캔의 탐지는 gateway장비가 아니면 힘들 것 같네요.
물론 IDS의 경우도 가능하겠고요.
말씀하신것 처럼 동일한 Source IP에서 Destination IP만 변경되어져
들어오는 packet이 기준한 시간에 몇번이상 들어올 경우 이건 스캔이다
라는 식의 threshold값이 있어야 할 것 같습니다.
포트스캔은 이미 portsentry(?) 인가하는 LINUX용 툴이 있습니다.
탐지 및 대응까지 할 수 있죠. 이 역시 동일한 IP에서 포트를 순차적/무차별적
으로 계속 반복해서 들어오는 횟수 / 빈도를 보고 판단하기 때문에
threshold값이 될 수 있는 기준이 있어야 겠네요.
쓰고 보니 도움이 될 만한 내용을 없네요 :oops:
행복하세요 ^_^
nmap??
항상 깨어있어라 ~~~
텍스트 포맷에 대한 자세한 정보
<code>
<blockcode>
<apache>
<applescript>
<autoconf>
<awk>
<bash>
<c>
<cpp>
<css>
<diff>
<drupal5>
<drupal6>
<gdb>
<html>
<html5>
<java>
<javascript>
<ldif>
<lua>
<make>
<mysql>
<perl>
<perl6>
<php>
<pgsql>
<proftpd>
<python>
<reg>
<spec>
<ruby>
<foo>
[foo]
제 생각엔..
스캔의 기준을 어디에 두는지가 문제가 될것 같습니다.
네트워크 스캔의 탐지는 gateway장비가 아니면 힘들 것 같네요.
물론 IDS의 경우도 가능하겠고요.
말씀하신것 처럼 동일한 Source IP에서 Destination IP만 변경되어져
들어오는 packet이 기준한 시간에 몇번이상 들어올 경우 이건 스캔이다
라는 식의 threshold값이 있어야 할 것 같습니다.
포트스캔은 이미 portsentry(?) 인가하는 LINUX용 툴이 있습니다.
탐지 및 대응까지 할 수 있죠. 이 역시 동일한 IP에서 포트를 순차적/무차별적
으로 계속 반복해서 들어오는 횟수 / 빈도를 보고 판단하기 때문에
threshold값이 될 수 있는 기준이 있어야 겠네요.
쓰고 보니 도움이 될 만한 내용을 없네요 :oops:
행복하세요 ^_^
흠...
nmap??
항상 깨어있어라 ~~~
댓글 달기