搜索

[11421] 2017-06-05_基于bro的计算机入侵取证实战分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-06-05_基于bro的计算机入侵取证实战分析 基 于 b r o 的 计 算 机 入 侵 取 证 实 战 分 析 C h a r l e n e   F r e e B u f   2 0 1 7 - 0 6 - 0 5 * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： C h a r l e n e ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载   什 么 是 计 算 机 入 侵 取 证 什 么 是 计 算 机 入 侵 取 证 计 算 机 取 证 是 运 用 计 算 机 及 其 相 关 科 学 和 技 术 的 原 理 和 方 法 获 取 与 计 算 机 相 关 的 证 据 以 证 明 某 个 客 观 事 实 的 过 程 。 它 包 括 计 算 机 取 证 是 运 用 计 算 机 及 其 相 关 科 学 和 技 术 的 原 理 和 方 法 获 取 与 计 算 机 相 关 的 证 据 以 证 明 某 个 客 观 事 实 的 过 程 。 它 包 括 计 算 机 证 据 的 确 定 、 收 集 、 保 护 、 分 析 、 归 档 以 及 法 庭 出 示 。 计 算 机 证 据 的 确 定 、 收 集 、 保 护 、 分 析 、 归 档 以 及 法 庭 出 示 。 b r o 基 本 介 绍 基 本 介 绍 b r o 是 一 款 被 动 的 开 源 流 量 分 析 器 。 它 主 要 用 于 对 链 路 上 所 有 深 层 次 的 可 疑 行 为 流 量 进 行 安 全 监 控 ， 为 网 络 流 量 分 析 提 供 了 一 个 综 合 平 台 ， 特 别 侧 重 于 语 义 安 全 监 控 。 虽 然 经 常 与 传 统 入 侵 检 测 / 预 防 系 统 进 行 比 较 ， 但 b r o 采 用 了 完 全 不 同 的 方 法 ， 为 用 户 提 供 了 一 个 灵 活 的 框 架 ， 可 以 帮 助 定 制 ， 深 入 的 监 控 远 远 超 出 传 统 系 统 的 功 能 。 b r o 的 目 标 在 于 搜 寻 攻 击 活 动 并 提 供 其 背 景 信 息 与 使 用 模 式 。 它 能 够 将 网 络 中 的 各 设 备 整 理 为 可 视 化 图 形 、 深 入 网 络 流 量 当 中 并 检 查 网 络 数 据 包 ; 它 还 提 供 一 套 更 具 通 用 性 的 流 量 分 析 平 台 。 我 们 通 过 一 个 实 验 来 学 习 基 于 b r o 的 计 算 机 入 侵 取 证 分 析 的 技 术 。 实 验 目 标 实 验 目 标 本 次 实 战 的 例 子 是 p c a p   a t t a c k   t r a c e ， 通 过 分 析 流 量 包 中 的 e x t r a c t   f i l e 和 l o g 文 件 得 到 攻 击 主 机 的 I P 实 验 过 程 实 验 过 程 安 装 安 装 b r o 工 具 工 具 实 验 环 境 实 验 环 境 配 置 配 置 b r o 编 辑   / e t c / b r o / s i t e / l o c a l . b r o ， 在 文 件 尾 部 追 加 两 行 新 配 置 代 码 在 / e t c / b r o / s i t e / 目 录 下 创 建 新 文 件 m y t u n i n g . b r o ，   添 加 ：   原 因 ： 通 常 ， B r o 的 事 件 引 擎 将 丢 弃 没 有 有 效 校 验 和 的 数 据 包 。 如 果 想 要 在 系 统 上 分 析 本 地 生 成 / 捕 获 流 量 ， 所 有 发 送 / 捕 获 的 数 据 包 将 具 有 不 良 的 校 验 和 ， 因 为 它 们 尚 未 由 N I C 计 算 ， 因 此 这 些 数 据 包 将 不 会 在 B r o 策 略 脚 本 中 进 行 分 析 ， 所 以 要 设 置 成 忽 略 校 验 和 验 证 。 a p t - g e t   i n s t a l l   b r o   b r o - a u x @ l o a d   f r a m e w o r k s / f i l e s / e x t r a c t - a l l - f i l e s   #   提 取 所 有 文 件 @ l o a d   m y t u n i n g . b r o
下 载 下 载 p c a p 包 （ 实 验 目 标 ） 包 （ 实 验 目 标 ） 解 压 缩 后 使 用 解 压 缩 后 使 用 b r o 自 动 分 析 自 动 分 析 p c a p 包 包 出 现 警 告 信 息   W A R N I N G : N o   S i t e : : l o c a l _ n e t s   h a v e   b e e n   d e f i n e d .   I t ’ s   u s u a l l y   a   g o o d   i d e a   t o   d e f i n e   y o u r   l o c a l   n e t w o r k s . 对 于 本 次 入 侵 取 证 实 验 来 说 没 有 影 响 。 如 果 要 解 决 上 述 警 告 信 息 ， 编 辑 m y t u n i n g . b r o ， 增 加 一 行 变 量 定 义 ： 增 加 这 行 关 于 本 地 网 络 I P 地 址 范 围 的 定 义 对 于 本 次 实 验 来 说 会 新 增 2 个 日 志 文 件 ， 会 报 告 在 当 前 流 量 （ 数 据 包 文 件 ） 中 发 现 了 本 地 网 络 I P 和 该 I P 关 联 的 已 知 服 务 信 息 w g e t     h t t p s : / / w w w . h o n e y n e t . o r g / f i l e s / a t t a c k - t r a c e . p c a p _ . g z b r o   - r   a t t a c k - t r a c e . p c a p _   / e t c / b r o / s i t e / l o c a l . b r o r e d e f   S i t e : : l o c a l _ n e t s   =   {   1 9 2 . 1 5 0 . 1 1 . 0 / 2 4   } ;
通 过 阅 读 / u s r / s h a r e / b r o / b a s e / f i l e s / e x t r a c t / m a i n . b r o 的 源 代 码   ，   可 以 了 解 到 该 文 件 名 的 最 右 一 个 - 右 侧 对 应 的 字 符 串 F H U s S u 3 r W d P 0 7 e R E 4 l 是   f i l e s . l o g   中 的 文 件 唯 一 标 识   查 看 f i l e s . l o g ， 可 以 得 到 ， 该 文 件 提 取 自 F T P 会 话 ， 并 得 到 该 流 量 的 c o n n _ u i d s 为 C K 4 p 0 1 3 e f E 9 T p i s o X g 查 看 c o n n . l o g ， 找 到 i d 为 C K 4 p 0 1 3 e f E 9 T p i s o X g 的 五 元 组 信 息 ， 得 到 该 P E 文 件 来 自 于 I P v 4 地 址 为 9 8 . 1 1 4 . 2 0 5 . 1 0 2 的 主 机
关 于 关 于 l o g 文 件 显 示 的 小 技 巧 文 件 显 示 的 小 技 巧 结 语 结 语 通 过 这 个 实 验 可 以 展 示 出 b r o 在 计 算 机 取 证 方 面 具 有 十 分 有 效 的 作 用 。 它 可 以 通 过 p c a p 包 来 获 取 入 侵 者 留 下 的 痕 迹 。 但 是 它 跟 普 通 的 网 络 流 量 包 分 析 工 具 还 是 具 有 一 定 的 区 别 的 。 B r o S n o r t W i r e s h a r k &   T s h a r k 优 势 高 级 的                                 异 常 检 测 正 则 表 达 式 ， 签 名 流 量 分 析 关 注 数 据 连 接 对 象 ，                                 事 件 数 据 包 ，                                 数 据 流 协 议 剖 析 可 编 程 性 B r o   D S L 不 不 实 时 或 重 放 兼 备 兼 备 P c a p 重 放 应 用 层 应 用 层   自 动 化 ，                                 数 据 动 态 分 发 自 动 化 ，                                 O p e n A p p I D 手 动 ，                                 解 析 器 b r o 除 了 上 述 实 验 的 功 能 ， 还 提 供 了 不 少 关 键 的 高 级 特 性 ， 例 如 在 事 件 生 成 引 擎 中 实 现 应 用 层 协 议 功 能 。 在 计 算 机 取 证 分 析 中 ， 可 以 高 效 地 分 析 网 络 流 量 ， 从 而 找 出 入 侵 的 痕 迹 ， 帮 助 管 理 者 追 究 责 任 、 减 少 损 失 。 b r o 是 一 个 值 得 网 络 入 侵 检 测 系 统 开 发 者 参 考 和 借 鉴 的 好 工 具 ， 也 是 具 有 一 定 网 管 经 验 的 用 户 定 制 攻 击 检 测 功 能 的 选 择 。 参 考 参 考 h t t p s : / / w w w . b r o . o r g / d o c u m e n t a t i o n / f a q . h t m l # w h y - i s n - t - b r o - p r o d u c i n g - t h e - l o g s - i - e x p e c t - a - n o t e - a b o u t - c h e c k s u m s h t t p s : / / w w w . s n e a k y m o n k e y . n e t / 2 0 1 7 / 0 3 / 0 3 / p c a p - f i l e - e x t r a c t i o n / h t t p s : / / w w w . b r o . o r g / s p h i n x / s c r i p t - r e f e r e n c e / p r o t o - a n a l y z e r s . h t m l ? h i g h l i g h t = a r p # b r o - c o n n s i z e * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： C h a r l e n e ， 本 文 属 ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 b r o - c u t   t s   u i d   i d . o r i g _ h   i d . r e s p _ h   p r o t o   <   c o n n . l o g
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理