附錄3：ISA2006入侵檢測的部署與實現

ISA2006入侵檢測的部署與實現ISAServer支持的入侵檢測項目一般攻擊的入侵檢測DNS攻擊的入侵檢測Pop入侵檢測阻止包含IP選項的數據包和IP片段的數據包淹沒緩解一般攻擊的入侵檢測AllportsscanattackISAServer會檢測入侵者掃描端口（port）的行為，可以指定端口的數量，只要掃描的端口超過該閾值，則發出警報。一般攻擊的入侵檢測-2系統默認自動開啟入侵檢測功能，并且能夠自動記錄入侵事件，進而執行相應操作（如發送電子郵件或執行指定程序等）一般攻擊的入侵檢測-3LandAttack：這種攻擊行為是入侵者將TCP數據包內的源IP地址與端口改為欺騙的IP地址與端口，也就是說它會將源IP地址、端口都改為與目的地址相同的IP地址和端口，該類型的攻擊可能會導致系統死機。UDPbombattack：入侵者會發送非法的UDP數據包，導致某些系統死機。Windowsout-of-bandattack：一個被成為WinNuke的程序會發送out-of-band（OOB）數據包給被攻擊者的139端口，該攻擊將導致網絡阻塞或系統死機一般攻擊的入侵檢測-4常用端口：若常用端口（well-knownports）中超過10個被掃描，則視為攻擊行為。【1～2048TCP/UDP】所有端口：所有端口中，只要有超過20個端口被掃描，則視為攻擊行為。端口數目可以自行調整DNS攻擊的入侵檢測DNS主機名溢出（DNShostnameoverflow）查詢DNS主機名的響應數據包內，其主機名的字段有固定長度，而DNS主機名的溢出攻擊行為就是故意讓主機名超過此長度。DNS長度溢出（DNSlengthoverflow）查詢IP地址的DNS響應數據包內，有一個正常為4Bytes的長度字段，而DNS長度溢出的攻擊就是故意讓DNS響應數據包超過長度，造成有些應用程序在執行DNS查詢時發生內部緩沖區溢出的現象，讓入侵者有機會執行攻擊程序代碼。DNS攻擊的入侵檢測-2DNS區域轉移（DNSZonetransfer）它是發生在DNS客戶端應用程序與內部DNS服務器執行區域轉移操作的時候。內部DNS服務器的區域內一般都包含有內部網絡的重要信息，不應該被利用區域轉移的方式發送到外部POP入侵檢測POP入侵檢測：ISA的POP入侵檢測篩選器會攔截與分析送到內部網絡的POP流量，來檢測是否有POP緩沖區溢出的攻擊行為【默認自動開啟】阻止包含IP選項的數據包有些入侵行為是通過IP頭內的IP選項來實現攻擊的，尤其是通過源路由（sourcerouting）選項來攻擊內部網絡的計算機?？梢栽O置ISAServer拒絕包含此類IP選項的數據包。阻止IP片段的數據包概述：一個IP數據包可以被分解為多個較小的數據包進行發送，這些較小的數據包稱之為IP片段（或分片）。當目的計算機接收到這些IP片段之后，會根據數據包內部的offset（間距）數據進行重組。例如：正常的IP片段的offset數據為IP片段1：offset100–300IP片段2：offset301–600上述表示第一個IP片段占用原始數據包的第100至300的位置，而第二個IP片段占用原始數據包的第301至600的位置阻止IP片段的數據包-2IP片段的攻擊方式就是故意讓offset數據重疊例如：IP片段1：offset100–300IP片段2：offset200–400當目地計算機收到數據后，無法進行IP片段重組，因此可能導致計算機死機或重啟阻止IP片段的數據包-3注意事項1.啟用該功能后可能會干擾音頻/視頻流2.可能無法建立L2TP/IPSECVPN連接，因為執行證書