配置ISA Server检测外部攻击和入侵

    ZDNetChina服务器站 x86服务器技巧

    可以通过配置ISA Server来检测常见的网络攻击。默认状态下，启用入侵检测后，ISA Server一检测到攻击，就会往Windows 2000事件日志中发消息。也可以把ISA Server配置为对检测到的攻击做出其他的反应，例如给管理员发送电子邮件、启动一个特定的程序、以及启动或停止选定的ISA Server服务。

　　一、入侵类型和警报

　　ISA Server的一个功能就是入侵检测。有人试图攻击您的网络时，入侵检测能够将其鉴别出来。检测到攻击后，ISA Server就会采取一系列预先配置的措施(或警报)。下面是一些入侵类型：

　　·端口扫描攻击
　　
　　·IP 半扫描攻击
　　
　　·登录攻击
　　
　　·Ping of Death攻击
　　
　　·UDP轰炸攻击
　　
　　·Windows out-of-band攻击
　　
　　二、端口扫描攻击

　　引发ISA Server警报的两种端口扫描攻击类型：全部端口扫描攻击和枚举端口扫描攻击。
　　
　　1、全部端口扫描攻击

　　该警报通知您，有人试图访问的端口数目超过了您预先设定的数字。您可以规定一个极限值，指定允许访问的端口数目。
　　
　　2、枚举端口扫描攻击

　　该警报通知您，有人通过探测每个端口的反应，试图统计计算机上所运行的服务。
　　
　　如果有该警报，您应该识别端口扫描的来源。将它与目标计算机上运行的服务进行对比。同时，鉴别扫描的来源和目的。检查访问日志，看有没有未经授权的访问。如果确实发现了未经授权的访问，您应该考虑到这可能会危及系统的安全，并采取适当的措施。
　　
　　三、IP 半扫描攻击

　　该警报通知您，有人一再试图访问目的计算机，但却没有传送相应的ACK(确认)数据包。
　　
　　标准的TCP链接是通过给目的计算机发送一个SYN(同步/开始)数据包来建立的。如果该目的正在等待连接到某个端口，就会发送一个SYN/ACK (同步确认)数据包。最初的发送者回应一个ACK数据包，链接就建立起来了。如果该目的计算机的没有等待指定端口上的连接，就发送一个RST(重置)数据包。
　　
　　多数的系统日志收到源头发送的最终的ACK数据包之后，才将该链接记入日志。发送的是RST数据包而不是最终的ACK数据包，说明该链接没有真正建立起来，因此它不会记入日志中。因为源头能够鉴别目的计算机发送的是SYN/ACK数据包，还是RST数据包，所以黑客能够精确地判断哪个端口是公开连接的，而且目的计算机意识不到这是黑客的探测行为。
　　
　　如果发生了该警报，就将产生扫描的地址记入日志。适当的话，配置ISA Server策略规则或者IP数据包筛选器来阻止来自该扫描源的通信。
　　
　　四、登录攻击

　　该警报通知您，发送的TCP SYN 数据包还带有与目的IP地址和端口匹配的伪源IP地址和端口数。如果该攻击成功了，它将使某些TCP执行程序陷入死循环而死机。
　　
　　如果发生了该警报，配置ISA Server策略规则或者IP数据包筛选器使其禁止来自该扫描源头的通信。
　　
　　五、Ping of Death攻击

　　该警报通知您，Internet控制报文协议(ICMP)的回应请求(ping)数据包中附加有大量的信息。如果该攻击成功了，它将使计算机的内核缓冲区溢出而死机。
　　
　　如果发生了该警报，创建一个协议规则，明确地拒绝来自Internet的传入ICMP回应请求数据包。
　　
　　六、UDP轰炸攻击

　　该警报通知您，有人试图给您发送非法的UDP数据包。这些UDP数据包的某些字段上有非法值。接收到这样的数据包时，会导致一些旧的操作系统崩溃。而一旦目标机器崩溃之后，通常就很难找出原因了。
　　
　　七、Windows Out-of-Band攻击(WinNuke)

　　该警报通知您，有人试图通过OOB denial-of service(拒绝服务)攻击一台由ISA Server保护的计算机。如果该攻击成功了，它将导致计算机崩溃或者导致某些易受攻击的计算机失去网络链接。
　　
　　 注意　入侵检测功能是基于美国亚特兰大Internet安全系统公司(Internet Security Systems, Inc., Atlanta, Georgia)的有关技术。
　　
　　八、配置入侵检测

　　为了检测有害的入侵者，ISA Server将网络通信以及日志项与熟知的攻击方法进行比较。如发现可疑的行为会触发一组预先设定的措施或者警报。这些措施包括终止链接、终止服务、电子邮件警报、记入日志、以及运行一个选定的程序。
　　
　　要启用这个功能，选择IP Packet Filters Properties对话框上的Enable Intrusion Detection复选框，如图所示。

　　ISA Server包括一个为入侵检测预先配置的名为Intrusion Detected的警报，如图所示。默认状态下，启用入侵检测后，只要一检测到任何一种入侵类型，该警报就会往Windows 2000事件日志中发消息。也可以修改Intrusion Detected警报，让它在检测到入侵时，作出另外的响应。也可以创建一个新警报，当检测到一个特定的入侵类型时，作出其他可能的警报反应。另外，配置端口扫描警报时，可以设定触发警报的端口攻击数量。

　　按如下步骤配置入侵检测：
　　
　　1.在ISA Management控制台树上，右击IP Packet Filters，然后单击Properties。
　　
　　2.在General选项卡上，选中Enable Packet Filtering复选框(如果尚未选择它)，同时选定Enable Intrusion Detection复选框。
　　
　　3.在Intrusion Detection选项卡中，单击能引起事件的攻击类型：
　　
　　u Windows Out-Of-Band (WinNuke)
　　
　　u 登录
　　
　　u Ping of Death
　　
　　u IP半扫描
　　
　　u UDP轰炸
　　
　　u 端口扫描
　　
　　4.如果选择了Port Scan，那么执行以下步骤：
　　
　　u 在Well-Known Ports文本框中，输入引起事件之前所能扫描的常用端口的最大　号码。
　　
　　u 在Ports文本框中，输入触发警报之前所能扫描的端口数目。
　　
　　注意　Well-Known Ports(常用端口)就是从0到1023之间的任一端口。
　　
　　九、小结

　　在ISA Management的IP数据包筛选属性对话框中启用入侵检测，可以把ISA Server配置为能够检测6种常见的网络攻击。这些攻击包括端口扫描攻击、IP半扫描攻击、登录攻击、Ping of Death攻击、UDP轰炸攻击以及Windows out-of-band (WinNuke)攻击。默认状态下，启用入侵检测，ISA Server只要检测到其中任何一种攻击，就会往Windows 2000事件日志中写信息。这些消息在事件观察器中就是警报。也可以配置ISA Server针对攻击做出其他的反应，例如给管理员发送电子邮件、启动一个特定的程序、或者启动或停止选定的ISA Server服务。