解讀防火牆記錄

  防火牆的記錄***Log***中看到了什麼?尤其是那些埠是什麼意思?你將能利用這些資訊做出判斷:我是否受到了Hacker的攻擊?他/她到底想要幹什麼?下面是小編跟大家分享的是,歡迎大家來閱讀學習~

  

  一、目標埠ZZZZ是什麼意思

  所有穿過防火牆的通訊都是連線的一個部分。一個連線包含一對相互“交談”的IP地址以及一對與IP地址對應的埠。目標埠通常意味著正被連線的某種服務。當防火牆阻擋***block***某個連線時,它會將目標埠“記錄在案”***logfile***。這節將描述這些埠的意義。

  埠可分為3大類:

  1*** 公認埠***Well Known Ports***:從0到1023,它們緊密綁定於一些服務。通常這些埠的通訊明確表明了某種服務的協議。例如:80埠實際上總是HTTP通訊。

  2*** 註冊埠***Registered Ports***:從1024到49151。它們鬆散地綁定於一些服務。也就是說有許多服務綁定於這些埠,這些埠同樣用於許多其它目的。例如:許多系統處理動態埠從1024左右開始。

  3*** 動態和/或私有埠***Dynamic and/or Private Ports***:從49152到65535。理論上,不應為服務分配這些埠。實際上,機器通常從1024起分配動態埠。但也有例外:SUN的RPC埠從32768開始。

  從哪裡獲得更全面的埠資訊:

  1."Assigned Numbers" RFC,埠分配的官方來源。

  2.埠資料庫,包含許多系統弱點的埠。

  3./etc/servicesUNIX 系統中檔案/etc/services包含通常使用的UNIX埠分配列表。Windows NT中該檔案位於%systemroot%/system32/drivers/etc/services。

  4.特定的協議與埠。

  5.描述了許多埠。

  6.TLSecurity的Trojan埠列表。與其它人的收藏不同,作者檢驗了其中的所有埠。

  7.Trojan Horse 探測。一*** 通常對於防火牆的TCP/UDP埠掃描有哪些?本節講述通常TCP/UDP埠掃描在防火牆記錄中的資訊。記住:並不存在所謂ICMP埠。如果你對解讀ICMP資料感興趣,請參看本文的其它部分。0 通常用於分析作業系統。這一方法能夠工作是因為在一些系統中“0”是無效埠,當你試圖使用一種通常的閉合埠連線它時將產生不同的結果。一種典型的掃描:使用IP地址為0.0.0.0,設定ACK位並在乙太網層廣播。

  tcpmux 這顯示有人在尋找SGI Irix機器。Irix是實現tcpmux的主要提供者,預設情況下tcpmux在這種系統中被開啟。Iris機器在釋出時含有幾個預設的無密碼的帳戶,如lp, guest, uucp, nuucp, demos, tutor, diag, EZsetup, OutOfBox, 和4Dgifts。許多管理員安裝後忘記刪除這些帳戶。因此Hacker們在Internet上搜索tcpmux並利用這些帳戶。

  Echo 你能看到許多人們搜尋Fraggle放大器時,傳送到x.x.x.0和x.x.x.255的資訊。常見的一種DoS攻擊是echo迴圈***echo-loop***,攻擊者偽造從一個機器傳送到另一個機器的UDP資料包,而兩個機器分別以它們最快的方式迴應這些資料包。***參見Chargen***另一種東西是由DoubleClick在詞埠建立的TCP連線。有一種產品叫做“Resonate Global Dispatch”,它與DNS的這一埠連線以確定最近的路由。Harvest/squid cache將從3130埠傳送UDP echo:“如果將cache的source_ping on選項開啟,它將對原始主機的UDP echo埠迴應一個HIT reply。”這將會產生許多這類資料包。