解讀防火墻記錄
解讀防火墻記錄
防火墻的記錄(Log)中看到了什么?尤其是那些端口是什么意思?你將能利用這些信息做出判斷：我是否受到了Hacker的攻擊?他/她到底想要干什么?下面是學(xué)習(xí)啦小編跟大家分享的是解讀防火墻記錄，歡迎大家來(lái)閱讀學(xué)習(xí)。
解讀防火墻記錄
一、目標(biāo)端口ZZZZ是什么意思
所有穿過(guò)防火墻的通訊都是連接的一個(gè)部分。一個(gè)連接包含一對(duì)相互“交談”的IP地址以及一對(duì)與IP地址對(duì)應(yīng)的端口。目標(biāo)端口通常意味著正被連接的某種服務(wù)。當(dāng)防火墻阻擋(block)某個(gè)連接時(shí)，它會(huì)將目標(biāo)端口“記錄在案”(logfile)。這節(jié)將描述這些端口的意義。
端口可分為3大類(lèi)：
1) 公認(rèn)端口(Well Known Ports)：從0到1023，它們緊密綁定于一些服務(wù)。通常這些端口的通訊明確表明了某種服務(wù)的協(xié)議。例如：80端口實(shí)際上總是HTTP通訊。
2) 注冊(cè)端口(Registered Ports)：從1024到49151。它們松散地綁定于一些服務(wù)。也就是說(shuō)有許多服務(wù)綁定于這些端口，這些端口同樣用于許多其它目的。例如：許多系統(tǒng)處理動(dòng)態(tài)端口從1024左右開(kāi)始。
3) 動(dòng)態(tài)和/或私有端口(Dynamic and/or Private Ports)：從49152到65535。理論上，不應(yīng)為服務(wù)分配這些端口。實(shí)際上，機(jī)器通常從1024起分配動(dòng)態(tài)端口。但也有例外：SUN的RPC端口從32768開(kāi)始。
從哪里獲得更全面的端口信息：
1."Assigned Numbers" RFC，端口分配的官方來(lái)源。
2.端口數(shù)據(jù)庫(kù)，包含許多系統(tǒng)弱點(diǎn)的端口。
3./etc/servicesUNIX 系統(tǒng)中文件/etc/services包含通常使用的UNIX端口分配列表。Windows NT中該文件位于%systemroot%/system32/drivers/etc/services。
4.特定的協(xié)議與端口。
5.描述了許多端口。
6.TLSecurity的Trojan端口列表。與其它人的收藏不同，作者檢驗(yàn)了其中的所有端口。
7.Trojan Horse 探測(cè)。一) 通常對(duì)于防火墻的TCP/UDP端口掃描有哪些?本節(jié)講述通常TCP/UDP端口掃描在防火墻記錄中的信息。記?。翰⒉淮嬖谒^ICMP端口。如果你對(duì)解讀ICMP數(shù)據(jù)感興趣，請(qǐng)參看本文的其它部分。0 通常用于分析操作系統(tǒng)。這一方法能夠工作是因?yàn)樵谝恍┫到y(tǒng)中“0”是無(wú)效端口，當(dāng)你試圖使用一種通常的閉合端口連接它時(shí)將產(chǎn)生不同的結(jié)果。一種典型的掃描：使用IP地址為0.0.0.0，設(shè)置ACK位并在以太網(wǎng)層廣播。
tcpmux 這顯示有人在尋找SGI Irix機(jī)器。Irix是實(shí)現(xiàn)tcpmux的主要提供者，缺省情況下tcpmux在這種系統(tǒng)中被打開(kāi)。Iris機(jī)器在發(fā)布時(shí)含有幾個(gè)缺省的無(wú)密碼的帳戶，如lp, guest, uucp, nuucp, demos, tutor, diag, EZsetup, OutOfBox, 和4Dgifts。許多管理員安裝后忘記刪除這些帳戶。因此Hacker們?cè)贗nternet上搜索tcpmux并利用這些帳戶。
Echo 你能看到許多人們搜索Fraggle放大器時(shí)，發(fā)送到x.x.x.0和x.x.x.255的信息。常見(jiàn)的一種DoS攻擊是echo循環(huán)(echo-loop)，攻擊者偽造從一個(gè)機(jī)器發(fā)送到另一個(gè)機(jī)器的UDP數(shù)據(jù)包，而兩個(gè)機(jī)器分別以它們最快的方式回應(yīng)這些數(shù)據(jù)包。(參見(jiàn)Chargen)另一種東西是由DoubleClick在詞端口建立的TCP連接。有一種產(chǎn)品叫做“Resonate Global Dispatch”，它與DNS的這一端口連接以確定最近的路由。Harvest/squid cache將從3130端口發(fā)送UDP echo：“如果將cache的source_ping on選項(xiàng)打開(kāi)，它將對(duì)原始主機(jī)的UDP echo端口回應(yīng)一個(gè)HIT reply。”這將會(huì)產(chǎn)生許多這類(lèi)數(shù)據(jù)包。
解讀防火墻記錄相關(guān)文章：
2.詳解IDS入侵特征庫(kù)樣本數(shù)據(jù)如何建立