搜索

[14073] 2019-05-06_基于统计分析的ICMP隧道检测方法与实现

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2019-05-06_基于统计分析的ICMP隧道检测方法与实现 基 于 统 计 分 析 的 I C M P 隧 道 检 测 方 法 与 实 现 网 藤 风 险 感 知   F r e e B u f   2 0 1 9 - 0 5 - 0 6 一 、 概 述 一 、 概 述 在 企 业 内 网 环 境 中 ， I C M P 协 议 是 必 不 可 少 的 网 络 通 信 协 议 之 一 ， 被 用 于 检 测 网 络 连 通 状 态 ， 通 常 情 况 下 ， 防 火 墙 会 默 认 放 此 协 议 。 由 于 防 火 墙 对 I C M P 协 议 开 放 ， 恶 意 攻 击 者 常 会 利 用 I C M P 协 议 进 行 非 法 通 信 。 例 如 ， 在 黑 客 攻 击 中 经 常 出 现 一 种 情 况 是 ， 黑 客 通 过 某 一 种 方 式 取 得 了 一 台 主 机 的 权 限 ， 得 到 了 一 些 文 件 ， 比 如 域 h a s h ， 密 码 文 件 之 类 的 东 西 ， 需 要 回 传 至 本 地 进 行 破 解 ， 但 是 防 火 墙 阻 断 了 由 内 网 发 起 的 请 求 ， 只 有 i c m p 协 议 没 有 被 阻 断 ， 而 黑 客 又 需 要 回 传 文 件 ， 这 个 时 候 如 果 黑 客 可 以 p i n g 通 远 程 计 算 机 ， 就 可 以 尝 试 建 立 I C M P 隧 道 ， I C M P 隧 道 是 将 流 量 封 装 进   p i n g   数 据 包 中 ， 旨 在 利 用   p i n g 数 据 穿 透 防 火 墙 的 检 测 。 现 在 市 面 上 已 经 有 了 很 多 类 似 的 工 具 了 ， 比 如   i c m p t u n n e l 、 p t u n n e l 、 i c m p s h 等 。 本 文 将 为 大 家 介 绍 一 种 简 单 而 有 效 的 i c m p 隧 道 检 测 技 术 。 我 们 将 利 用 S p a r k   S t r e a m i n g ， 来 帮 助 我 们 检 测 I C M P 隧 道 。 二 、 二 、 I C M P 隧 道 隧 道 2 . 1   工 作 机 理 工 作 机 理 I C M P （ I n t e r n e t   C o n t r o l M e s s a g e s   P r o t o c o l ， 网 间 控 制 报 文 协 议 ） 是 T C P / I P 协 议 族 的 子 协 议 ， 是 一 种 面 向 无 连 接 的 协 议 。 I C M P 协 议 的 结 构 ， 如 图 1 所 示 ： 图 1 经 常 使 用 的 p i n g 命 令 就 是 基 于 I C M P 协 议 ， w i n d o w s 系 统 下 p i n g 默 认 传 输 的 是 ：   a b c d e f g h i j k l m n o p q r s t u v w a b c d e f g h i ， 共 3 2 b y t e s ， 如 图 2 所 示 ： 图 2 l i n u x 系 统 下 ， p i n g 默 认 传 输 的 是 4 8 b y t e s ， 前 8 b y t e s 随 时 间 变 化 ， 后 面 的 固 定 不 变 ， 内 容 为 ! ” # $ % & ’ ( ) + , - . / 0 1 2 3 4 5 6 7 ， 如 图 3 所 示 ： 图 3 此 外 ， p i n g 的 包 大 小 ， 也 就 是 d a t a 大 小 是 可 以 修 改 的 ， 以 w i n d o w s 为 例 ， 使 用 p i n g   b a i d u . c o m   - l   2 2 3 ， 修 改 为 2 2 3 b y t e s ， 从 包 体 内 容 来 看 ， 规 律 还 是 一 样 ， 就 是 重 复 罢 了 ， 如 图 4 所 示 ：
图 4 那 能 否 改 变 这 些 d a t a 填 充 我 们 自 己 的 数 据 呢 ？   答 案 是 当 然 可 以 ！   这 就 是 I C M P 隐 蔽 隧 道 的 原 理 ， 改 变 操 作 系 统 默 认 填 充 的 D a t a ， 替 换 成 我 们 自 己 的 数 据 。   比 如 使 用 i c m p 隧 道 可 以 构 造 一 个 包 含 有 w w w . f a c e b o o k . c o m 字 符 串 的 自 定 义 d a t a 的 包 ， 如 图 5 所 示 ： 图 5 2 . 2   I C M P 隧 道 数 据 包 检 测 隧 道 数 据 包 检 测 w i n d o w s 系 统 下 p i n g 默 认 传 输 的 是 ： a b c d e f g h i j k l m n o p q r s t u v w a b c d e f g h i ， 1 6 进 制 内 容 为 ： l i n u x 系 统 下 p i n g 默 认 传 输 的 内 容 ， 去 掉 开 头 可 变 的 8 b y t e s 后 是 ： ! ” # $ % & ’ ( ) + , - . / 0 1 2 3 4 5 6 7 ， 1 6 进 制 内 容 为 ： 对 自 定 义 长 度 的 p i n g ， 在 l i n u x 下 使 用 p i n g   - s   5 0 0   b a i d u . c o m 产 生 了 4 9 2 位 大 小 的 d a t a ， 去 掉 开 头 可 变 的 8 b y t e s ， 1 6 进 制 内 容 为 : w i n d o w s 下 自 定 义 长 度 的 p i n g 类 似 ， 1 6 进 制 内 容 为 : 因 此 ， 正 常 操 作 系 统 下 通 过 p i n g 产 生 的 d a t a ， 转 换 为 1 6 进 制 后 为 从 0 0 开 始 不 断 递 增 然 后 一 直 到 f f 的 重 复 序 列 中 的 一 段 或 几 段 。 对 于 i c m p 隧 道 产 生 的 自 定 义 d a t a 数 据 包 ， 转 换 为 1 6 进 制 后 内 容 是 乱 序 没 有 规 律 的 ， 比 如 构 造 一 个 内 容 为 R 5 * ê Í w w w f a c e b o o k c o m 字 符 串 的 自 定 义 d a t a 的 包 ， 其 1 6 进 制 内 容 为 : 6 1 6 2 6 3 6 4 6 5 6 6 6 7 6 8 6 9 6 a 6 b 6 c 6 d 6 e 6 f 7 0 7 1 7 2 7 3 7 4 7 5 7 6 7 7 6 1 6 2 6 3 6 4 6 5 6 6 6 7 6 8 6 9 1 0 1 1 1 2 1 3 1 4 1 5 1 6 1 7 1 8 1 9 1 a 1 b 1 c 1 d 1 e 1 f 2 0 2 1 2 2 2 3 2 4 2 5 2 6 2 7 2 8 2 9 2 a 2 b 2 c 2 d 2 e 2 f 3 0 3 1 3 2 3 3 3 4 3 5 3 6 3 7 1 0 1 1 1 2 1 3 1 4 1 5 1 6 1 7 1 8 1 9 1 a 1 b 1 c 1 d 1 e 1 f 2 0 2 1 2 2 2 3 2 4 2 5 2 6 2 7 2 8 2 9 2 a 2 b 2 c 2 d 2 e 2 f 3 0 3 1 3 2 3 3 3 4 3 5 3 6 3 7 3 8 3 9 3 a 3 b 3 c 3 d 3 e 3 f 4 0 4 1 4 2 4 3 4 4 4 5 4 6 4 7 4 8 4 9 4 a 4 b 4 c 4 d 4 e 4 f 5 0 5 1 5 2 5 3 5 4 5 5 5 6 5 7 5 8 5 9 5 a 5 b 5 c 5 d 5 e 5 f 6 0 6 1 6 2 6 3 6 4 6 5 6 6 6 7 6 8 6 9 6 a 6 b 6 c 6 d 6 e 6 f 7 0 7 1 7 2 7 3 7 4 7 5 7 6 7 7 7 8 7 9 7 a 7 b 7 c 7 d 7 e 7 f 8 0 8 1 8 2 8 3 8 4 8 5 8 6 8 7 8 8 8 9 8 a 8 b 8 c 8 d 8 e 8 f 9 0 9 1 9 2 9 3 9 4 9 5 9 6 9 7 9 8 9 9 9 a 9 b 9 c 9 d 9 e 9 f a 0 a 1 a 2 a 3 a 4 a 5 a 6 a 7 a 8 a 9 a a a b a c a d a e a f b 0 b 1 b 2 b 3 b 4 b 5 b 6 b 7 b 8 b 9 b a b b b c b d b e b f c 0 c 1 c 2 c 3 c 4 c 5 c 6 c 7 c 8 c 9 c a c b c c c d c e c f d 0 d 1 d 2 d 3 d 4 d 5 d 6 d 7 d 8 d 9 d a d b d c d d d e d f e 0 e 1 e 2 e 3 e 4 e 5 e 6 e 7 e 8 e 9 e a e b e c e d e e e f f 0 f 1 f 2 f 3 f 4 f 5 f 6 f 7 f 8 f 9 f a f b f c f d f e f f 0 0 0 1 0 2 0 3 0 4 0 5 0 6 0 7 0 8 0 9 0 a 0 b 0 c 0 d 0 e 0 f 1 0 1 1 1 2 1 3 1 4 1 5 1 6 1 7 1 8 1 9 1 a 1 b 1 c 1 d 1 e 1 f 2 0 2 1 2 2 2 3 2 4 2 5 2 6 2 7 2 8 2 9 2 a 2 b 2 c 2 d 2 e 2 f 3 0 3 1 3 2 3 3 3 4 3 5 3 6 3 7 3 8 3 9 3 a 3 b 3 c 3 d 3 e 3 f 4 0 4 1 4 2 4 3 4 4 4 5 4 6 4 7 4 8 4 9 4 a 4 b 4 c 4 d 4 e 4 f 5 0 5 1 5 2 5 3 5 4 5 5 5 6 5 7 5 8 5 9 5 a 5 b 5 c 5 d 5 e 5 f 6 0 6 1 6 2 6 3 6 4 6 5 6 6 6 7 6 8 6 9 6 a 6 b 6 c 6 d 6 e 6 f 7 0 7 1 7 2 7 3 7 4 7 5 7 6 7 7 7 8 7 9 7 a 7 b 7 c 7 d 7 e 7 f 8 0 8 1 8 2 8 3 8 4 8 5 8 6 8 7 8 8 8 9 8 a 8 b 8 c 8 d 8 e 8 f 9 0 9 1 9 2 9 3 9 4 9 5 9 6 9 7 9 8 9 9 9 a 9 b 9 c 9 d 9 e 9 f a 0 a 1 a 2 a 3 a 4 a 5 a 6 a 7 a 8 a 9 a a a b a c a d a e a f b 0 b 1 b 2 b 3 b 4 b 5 b 6 b 7 b 8 b 9 b a b b b c b d b e b f c 0 c 1 c 2 c 3 c 4 c 5 c 6 c 7 c 8 c 9 c a c b c c c d c e c f d 0 d 1 d 2 d 3 d 4 d 5 d 6 d 7 d 8 d 9 d a d b d c d d d e d f e 0 e 1 e 2 e 3 e 4 e 5 e 6 e 7 e 8 e 9 e a e b e c e d e e e f f 0 f 1 f 2 f 3 6 1 6 2 6 3 6 4 6 5 6 6 6 7 6 8 6 9 6 a 6 b 6 c 6 d 6 e 6 f 7 0 7 1 7 2 7 3 7 4 7 5 7 6 7 7 6 1 6 2 6 3 6 4 6 5 6 6 6 7 6 8 6 9 6 a 6 b 6 c 6 d 6 e 6 f 7 0 7 1 7 2 7 3 7 4 7 5 7 6 7 7 6 1 6 2 6 3 6 4 6 5 6 6 6 7 6 8 6 9 6 a 6 b 6 c 6 d 6 e 6 f 7 0 7 1 7 2 7 3 7 4 7 5 0 0 0 1 0 2 0 3 0 4 0 5 0 6 0 7 0 8 0 9 0 a 0 b 0 c 0 d 0 e 0 f 1 0 1 1 1 2 1 3 1 4 1 5 1 6 1 7 1 8 1 9 1 a 1 b 1 c 1 d 1 e 1 f 2 0 2 1 2 2 2 3 2 4 2 5 2 6 2 7 2 8 2 9 2 a 2 b 2 c 2 d 2 e 2 f 3 0 3 1 3 2 3 3 3 4 3 5 3 6 3 7 3 8 3 9 3 a 3 b 3 c 3 d 3 e 3 f 4 0 4 1 4 2 4 3 4 4 4 5 4 6 4 7 4 8 4 9 4 a 4 b 4 c 4 d 4 e 4 f 5 0 5 1 5 2 5 3 5 4 5 5 5 6 5 7 5 8 5 9 5 a 5 b 5 c 5 d 5 e 5 f 6 0 6 1 6 2 6 3 6 4 6 5 6 6 6 7 6 8 6 9 6 a 6 b 6 c 6 d 6 e 6 f 7 0 7 1 7 2 7 3 7 4 7 5 7 6 7 7 7 8 7 9 7 a 7 b 7 c 7 d 7 e 7 f 8 0 8 1 8 2 8 3 8 4 8 5 8 6 8 7 8 8 8 9 8 a 8 b 8 c 8 d 8 e 8 f 9 0 9 1 9 2 9 3 9 4 9 5 9 6 9 7 9 8 9 9 9 a 9 b 9 c 9 d 9 e 9 f a 0 a 1 a 2 a 3 a 4 a 5 a 6 a 7 a 8 a 9 a a a b a c a d a e a f b 0 b 1 b 2 b 3 b 4 b 5 b 6 b 7 b 8 b 9 b a b b b c b d b e b f c 0 c 1 c 2 c 3 c 4 c 5 c 6 c 7 c 8 c 9 c a c b c c c d c e c f d 0 d 1 d 2 d 3 d 4 d 5 d 6 d 7 d 8 d 9 d a d b d c d d d e d f e 0 e 1 e 2 e 3 e 4 e 5 e 6 e 7 e 8 e 9 e a e b e c e d e e e f f 0 f 1 f 2 f 3 f 4 f 5 f 6 f 7 f 8 f 9 f a f b f c f d f e f f 4 5 0 0 0 0 3 e 3 7 7 d 4 0 0 0 4 0 1 1 9 c 2 f 0 a 0 0 0 1 0 2 0 a 0 0 5 2 0 1 9 d 8 0 0 0 3 5 0 0 2 a 1 a 1 4 e a c d 0 1 0 0 0 0 0 1 0 0 0 0 0 0 0 0 0 0 0 0 0 3 7 7 7 7 7 7 0 8 6 6 6 1 6 3 6 5 6 2 6 f 6 f 6 b 0 3 6 3 6 f 6 d 0 0 0 0 0 1 0 0 0 1
因 此 ， 可 以 根 据 p i n g 产 生 的 d a t a 数 据 包 ， 转 换 为 1 6 进 制 后 的 内 容 是 否 有 规 律 来 做 区 分 。 在 这 里 使 用 A C 自 动 机   字 符 串 匹 配 方 法 进 行 特 征 匹 配 ， 具 体 做 法 为 ： ( 1 )   将 正 常 操 作 系 统 产 生 的 不 断 重 复 序 列 ， 如 下 ： 每 4 位 切 分 成 特 征 数 组 ， 生 成 的 特 征 数 组 如 下 : 对 p i n g 产 生 的 d a t a 数 据 ， 如 以 下 l i n u x 产 生 的 d a t a ： 每 4 位 切 分 成 特 征 数 组 ， 生 成 的 特 征 数 组 如 下 : ( 2 )   使 用 a c 自 动 机 算 法 ， 将 生 成 的 特 征 数 组 和 正 常 操 作 系 统 生 成 的 特 征 数 组 进 行 匹 配 ， 将 匹 配 到 的 特 征 的 个 数 * 4 / p a y l o a d 长 度 作 为 匹 配 度 ， 进 行 计 算 得 到 匹 配 度 0 . 9 8 7 。 匹 配 度 算 法 : 对 于 正 常 的 p i n g 数 据 产 生 的 d a t a ， 计 算 得 到 的 匹 配 度 结 果 都 在 0 . 9 以 上 ， I c m p 隧 道 产 生 的 自 定 义 d a t a 的 数 据 包 通 常 匹 配 度 很 低 ， 可 以 根 据 匹 配 度 来 区 分 是 否 是 正 常 操 作 系 统 产 生 的 数 据 包 。 三 、 基 于 统 计 分 析 的 三 、 基 于 统 计 分 析 的 I C M P 隧 道 检 测 隧 道 检 测 对 于 正 常 的 p i n g 命 令 产 生 的 数 据 ， 有 以 下 特 点 ： 每 秒 发 送 的 数 据 包 个 数 比 较 少 ， 通 常 每 秒 最 多 只 会 发 送 两 个 数 据 包 ； 请 求 数 据 包 与 对 应 的 响 应 数 据 包 内 容 一 样 ； 数 据 包 中 p a y l o a d 的 大 小 固 定 ， w i n d o w s 下 为 3 2 b y t e s ， l i n u x 下 为 4 8 b y t e s ； 数 据 包 中 p a y l o a d 的 内 容 固 定 ， w i n d o w s 下 为 a b c d e f g h i j k l m n o p q r s t u v w a b c d e f g h i ， l i n u x 下 为 ! ” # $ % & ’ ( ) + , - . / 0 1 2 3 4 5 6 7 ， 如 果 指 定 p i n g 发 送 的 长 度 ， 则 为 不 断 重 复 的 固 定 字 符 串 ； t y p e 类 型 只 有 2 种 ， 0 和 8 。 0 为 请 求 数 据 ， 8 为 响 应 数 据 。 对 于 I C M P 隧 道 产 生 的 数 据 ， 有 以 下 特 点 ： 每 秒 发 送 的 数 据 包 个 数 比 较 多 ， 在 同 一 时 间 会 产 生 成 百 上 千 个   I C M P   数 据 包 ； 请 求 数 据 包 与 对 应 的 响 应 数 据 包 内 容 不 一 样 ； 数 据 包 中   p a y l o a d 的 大 小 可 以 是 任 意 大 小 ； 存 在 一 些 t y p e 为 1 3 / 1 5 / 1 7 的 带 p a y l o a d 的 畸 形 数 据 包 ； 个 别 I C M P 隧 道 工 具 产 生 的 数 据 包 内 容 前 面 会 增 加   ‘ T U N L ’   标 记 以 用 于 识 别 隧 道 。 因 此 ， 根 据 正 常 p i n g 和 I C M P 隧 道 产 生 的 数 据 包 的 特 点 ， 可 以 通 过 以 下 几 点 特 征 检 测 I C M P 隧 道 : 检 测 同 一 来 源 数 据 包 的 数 量 。 正 常 p i n g 每 秒 只 会 发 送 2 个 数 据 包 ， 而 I C M P 隧 道 可 以 每 秒 发 送 很 多 个 ； 检 测 数 据 包 中   p a y l o a d   的 大 小 。 正 常 p i n g 产 生 的 数 据 包 p a y l o a d 的 大 小 为 固 定 ， 而 I C M P 隧 道 数 据 包 大 小 可 以 任 意 ； 检 测 响 应 数 据 包 中   p a y l o a d   跟 请 求 数 据 包 是 否 不 一 致 。 正 常 p i n g 产 生 的 数 据 包 请 求 响 应 内 容 一 致 ， 而 I C M P 隧 道 请 求 响 应 数 据 包 可 以 一 致 ， 也 可 以 不 一 致 ； 检 测 数 据 包 中   p a y l o a d   的 内 容 。 正 常 p i n g 产 生 的 p a y l o a d 为 固 定 字 符 串 ， I C M P 隧 道 的 p a y l o a d 可 以 为 任 意 ； 检 测   I C M P   数 据 包 的 t y p e 是 否 为 0 和 8 。 正 常 p i n g 产 生 的 带 p a y l o a d 的 数 据 包 ， t y p e 只 有 0 和 8 ， I C M P 隧 道 的 t y p e 可 以 为 1 3 / 1 5 / 1 7 。 四 、 具 体 实 施 四 、 具 体 实 施 4 . 1   技 术 选 型 技 术 选 型 将 基 于 统 计 的 I C M P 隧 道 检 测 部 署 到 生 产 环 境 中 ， 需 要 考 虑 大 数 据 规 模 对 模 型 的 时 效 性 、 吞 吐 量 等 性 能 指 标 的 影 响 。 经 多 方 考 量 ， 最 终 选 用 S p a r k   S t r e a m i n g 进 行 在 线 检 测 。 S p a r k   S t r e a m i n g   是 S p a r k 核 心 A P I 的 一 个 扩 展 ， 可 以 实 现 高 吞 吐 量 、 具 备 容 错 机 制 的 实 时 流 数 据 处 理 。 支 持 从 多 种 数 据 源 获 取 数 据 ， 包 括 K a f k a 、 F l u m e 、 T w i t t e r 、 Z e r o M Q 、 K i n e s i s   以 及 T C P s o c k e t s ， 从 数 据 源 获 取 数 据 之 后 ， 可 以 使 用 诸 如 m a p 、 r e d u c e 、 j o i n 和 w i n d o w 等 高 级 函 数 进 行 复 杂 算 法 的 处 理 。 最 后 还 可 以 将 处 理 结 果 存 储 到 文 件 系 统 ， 数 据 库 和 现 场 仪 表 盘 。 在 “ O n e   S t a c k   r u l e t h e m   a l l ” 的 基 础 上 ， 还 可 以 使 用 S p a r k 的 其 他 子 框 架 ， 如 集 群 学 习 、 图 计 算 等 ， 对 流 数 据 进 行 处 理 。 4 . 2   检 测 流 程 检 测 流 程 整 个 过 程 主 要 分 3 个 阶 段 ： 数 据 收 集   = >   汇 总 统 计   = >   检 出 过 滤 ， 具 体 检 测 逻 辑 ， 见 图 6 所 示 ： 0 0 0 1 0 2 0 3 0 4 0 5 0 6 0 7 0 8 0 9 0 a 0 b 0 c 0 d 0 e 0 f 1 0 1 1 1 2 1 3 1 4 1 5 1 6 1 7 1 8 1 9 1 a 1 b 1 c 1 d 1 e 1 f 2 0 2 1 2 2 2 3 2 4 2 5 2 6 2 7 2 8 2 9 2 a 2 b 2 c 2 d 2 e 2 f 3 0 3 1 3 2 3 3 3 4 3 5 3 6 3 7 3 8 3 9 3 a 3 b 3 c 3 d 3 e 3 f 4 0 4 1 4 2 4 3 4 4 4 5 4 6 4 7 4 8 4 9 4 a 4 b 4 c 4 d 4 e 4 f 5 0 5 1 5 2 5 3 5 4 5 5 5 6 5 7 5 8 5 9 5 a 5 b 5 c 5 d 5 e 5 f 6 0 6 1 6 2 6 3 6 4 6 5 6 6 6 7 6 8 6 9 6 a 6 b 6 c 6 d 6 e 6 f 7 0 7 1 7 2 7 3 7 4 7 5 7 6 7 7 7 8 7 9 7 a 7 b 7 c 7 d 7 e 7 f 8 0 8 1 8 2 8 3 8 4 8 5 8 6 8 7 8 8 8 9 8 a 8 b 8 c 8 d 8 e 8 f 9 0 9 1 9 2 9 3 9 4 9 5 9 6 9 7 9 8 9 9 9 a 9 b 9 c 9 d 9 e 9 f a 0 a 1 a 2 a 3 a 4 a 5 a 6 a 7 a 8 a 9 a a a b a c a d a e a f b 0 b 1 b 2 b 3 b 4 b 5 b 6 b 7 b 8 b 9 b a b b b c b d b e b f c 0 c 1 c 2 c 3 c 4 c 5 c 6 c 7 c 8 c 9 c a c b c c c d c e c f d 0 d 1 d 2 d 3 d 4 d 5 d 6 d 7 d 8 d 9 d a d b d c d d d e d f e 0 e 1 e 2 e 3 e 4 e 5 e 6 e 7 e 8 e 9 e a e b e c e d e e e f f 0 f 1 f 2 f 3 f 4 f 5 f 6 f 7 f 8 f 9 f a f b f c f d f e f f " 0 0 0 1 " ,   " 0 2 0 3 " , " 0 4 0 5 " ,   . . . . . .   " f e f f " e 7 c d 0 a 0 0 0 0 0 0 0 0 0 0 1 0 1 1 1 2 1 3 1 4 1 5 1 6 1 7 1 8 1 9 1 a 1 b 1 c 1 d 1 e 1 f 2 0 2 1 2 2 2 3 2 4 2 5 2 6 2 7 2 8 2 9 2 a 2 b 2 c 2 d 2 e 2 f 3 0 3 1 3 2 3 3 3 4 3 5 3 6 3 7 3 8 3 9 3 a 3 b 3 c 3 d 3 e 3 f 4 0 4 1 4 2 4 3 4 4 4 5 4 6 4 7 4 8 4 9 4 a 4 b 4 c 4 d 4 e 4 f 5 0 5 1 5 2 5 3 5 4 5 5 5 6 5 7 5 8 5 9 5 a 5 b 5 c 5 d 5 e 5 f 6 0 6 1 6 2 6 3 6 4 6 5 6 6 6 7 6 8 6 9 6 a 6 b 6 c 6 d 6 e 6 f 7 0 7 1 7 2 7 3 7 4 7 5 7 6 7 7 7 8 7 9 7 a 7 b 7 c 7 d 7 e 7 f 8 0 8 1 8 2 8 3 8 4 8 5 8 6 8 7 8 8 8 9 8 a 8 b 8 c 8 d 8 e 8 f 9 0 9 1 9 2 9 3 9 4 9 5 9 6 9 7 9 8 9 9 9 a 9 b 9 c 9 d 9 e 9 f a 0 a 1 a 2 a 3 a 4 a 5 a 6 a 7 a 8 a 9 a a a b a c a d a e a f b 0 b 1 b 2 b 3 b 4 b 5 b 6 b 7 b 8 b 9 b a b b b c b d b e b f c 0 c 1 c 2 c 3 c 4 c 5 c 6 c 7 c 8 c 9 c a c b c c c d c e c f d 0 d 1 d 2 d 3 d 4 d 5 d 6 d 7 d 8 d 9 d a d b d c d d d e d f e 0 e 1 e 2 e 3 e 4 e 5 e 6 e 7 e 8 e 9 e a e b e c e d e e e f f 0 f 1 f 2 f 3 f 4 f 5 f 6 f 7 f 8 f 9 f a f b f c f d f e f f 0 0 0 1 0 2 0 3 0 4 0 5 0 6 0 7 0 8 0 9 0 a 0 b 0 c 0 d 0 e 0 f 1 0 1 1 1 2 1 3 1 4 1 5 1 6 1 7 1 8 1 9 1 a 1 b 1 c 1 d 1 e 1 f 2 0 2 1 2 2 2 3 2 4 2 5 2 6 2 7 2 8 2 9 2 a 2 b 2 c 2 d 2 e 2 f 3 0 3 1 3 2 3 3 3 4 3 5 3 6 3 7 3 8 3 9 3 a 3 b 3 c 3 d 3 e 3 f 4 0 4 1 4 2 4 3 4 4 4 5 4 6 4 7 4 8 4 9 4 a 4 b 4 c 4 d 4 e 4 f 5 0 5 1 5 2 5 3 5 4 5 5 5 6 5 7 5 8 5 9 5 a 5 b 5 c 5 d 5 e 5 f 6 0 6 1 6 2 6 3 6 4 6 5 6 6 6 7 6 8 6 9 6 a 6 b 6 c 6 d 6 e 6 f 7 0 7 1 7 2 7 3 7 4 7 5 7 6 7 7 7 8 7 9 7 a 7 b 7 c 7 d 7 e 7 f 8 0 8 1 8 2 8 3 8 4 8 5 8 6 8 7 8 8 8 9 8 a 8 b 8 c 8 d 8 e 8 f 9 0 9 1 9 2 9 3 9 4 9 5 9 6 9 7 9 8 9 9 9 a 9 b 9 c 9 d 9 e 9 f a 0 a 1 a 2 a 3 a 4 a 5 a 6 a 7 a 8 a 9 a a a b a c a d a e a f b 0 b 1 b 2 b 3 b 4 b 5 b 6 b 7 b 8 b 9 b a b b b c b d b e b f c 0 c 1 c 2 c 3 c 4 c 5 c 6 c 7 c 8 c 9 c a c b c c c d c e c f d 0 d 1 d 2 d 3 d 4 d 5 d 6 d 7 d 8 d 9 d a d b d c d d d e d f e 0 e 1 e 2 e 3 e 4 e 5 e 6 e 7 e 8 e 9 e a e b e c e d e e e f f 0 f 1 f 2 f 3 " e 7 c d " ,   " 0 a 0 0 " ,   . . . . . . ,   " 1 0 1 1 " , " 1 2 1 3 " , " 1 4 1 5 " , . . . . . . ,   " f e f f " 匹 配 度   =   匹 配 到 的 特 征 的 个 数 * 4   /   p a y l o a d 的 长 度
图 6 4 . 2 . 1   数 据 收 集 数 据 收 集 S p a r k   S t r e a m i n g 中 读 入 实 时 流 量 数 据 , 设 置 1 5 秒 处 理 一 次 数 据 ， 根 据 数 据 包 的 源 i p 、 目 的 i p 大 小 排 序 拼 接 后 进 行 分 组 ， 将 同 一 个 i p 向 目 的 i p 发 送 的 请 求 / 响 应 数 据 包 分 到 一 个 组 中 ， 分 组 字 段 t i m e s o r t s i p _ d i p   加 上 时 间 戳 t i m e s t a m p ， 为 了 过 滤 掉 上 一 次 1 5 秒 内 该 源 i p 、 目 的 i p 之 间 的 数 据 包 ， 保 证 每 个 1 5 秒 内 只 处 理 当 前 1 5 秒 内 的 同 一 i p 、 目 的 i p 的 数 据 。 4 . 2 . 2   汇 总 统 计 汇 总 统 计 根 据 分 组 后 的 数 据 ， 分 别 统 计 以 下 特 征 指 标 ， 作 为 最 终 是 否 检 出 的 依 据 ： 1 .   在 一 个 时 间 窗 内 ， I C M P 请 求 响 应 的 数 据 包 数 量 ； 2 .   捕 获 到 的 I C M P 请 求 响 应 中 ， 其 p a y l o a d 部 分 是 否 是 操 作 系 统 的 正 常 长 度 ； 3 .   序 号 相 同 的 I C M P 数 据 包 应 当 属 于 一 对 I C M P 请 求 响 应 消 息 ， 他 们 的 p a y l o a d 是 否 一 致 ； 4 .   I C M P 请 求 响 应 的 p a y l o a d 内 容 是 否 正 常 ( 多 模 匹 配 ) ； 5 .   I C M P 请 求 是 否 是 畸 形 P i n g 报 文 ( T y p e 是 否 异 常 ) ； 对 1 / 2 / 5 直 接 使 用 统 计 组 内 的 p a y l o a d 个 数 、 p a y l o a d _ l e n 长 度 值 、 是 否 有 t y p e 不 为 0 / 8 的 数 据 包 ， 直 接 得 出 。 对 与 3 的 判 断 ， 需 要 根 据 正 常 p i n g 和 异 常 数 据 的 不 同 点 ， 依 据 组 内 统 计 得 到 的 i d _ s e q 集 合 和 p a y l o a d 集 合 去 重 后 ， 做 大 小 比 较 得 出 ： 对 于 正 常 p i n g ， 源 i p 向 目 的 i p 发 送 的 一 系 列 数 据 包 中 i d s e q 全 部 不 一 样 ， 其 中 i d e n t i f y 为 当 次 请 求 随 机 生 成 的 序 号 不 重 复 ， 同 一 批 次 i d e n t i f y 一 样 ， s e q 是 根 据 数 据 包 个 数 ， 从 1 开 始 一 次 递 增 1 的 数 字 ， 同 一 个 请 求 和 响 应 数 据 包 的 i d s e q 一 样 ， p a y l o a d 内 容 也 一 样 。 例 ： p i n g   b a i d u . c o m 产 生 了 1 0 个 数 据 包 ， 包 括 5 次 请 求 、 5 次 响 应 ， 则 i d _ s e q 去 重 后 为 5 ， p a y l o a d 去 重 后 w i n 下 为 1 ， l i n u x 下 为 5 。 对 于 I c m p 隧 道 ， 源 i p 向 目 的 i p 发 送 的 一 系 列 数 据 包 中 i d s e q ， 可 以 一 样 ， 也 可 以 不 一 样 。 同 一 个 请 求 和 响 应 数 据 包 的 i d s e q 可 以 一 样 ， 也 可 以 不 一 样 ， p a y l o a d 内 容 不 一 样 。 例 ： 隧 道 产 生 了 1 0 个 数 据 包 ， 则 i d s e q 去 重 后 为 5 ( s e q 依 次 递 增 ) 或 1 ( s e q 固 定 不 递 增 ) ， p a y l o a d 去 重 后 为 1 0 ， 极 端 情 况 下 只 有 发 送 包 ， 没 有 响 应 包 ， 则 i d s e q 去 重 后 为 1 0 。 可 见 不 考 虑 一 些 极 端 情 况 ， 可 以 简 单 通 过   p a y l o a d s n u m   >   i d s e q _ n u m   即 可 认 为 请 求 响 应 内 容 不 同 ， 对 与 极 端 情 况 ， 可 以 根 据 别 的 条 件 进 行 检 出 。 对 于 4 的 判 断 ， 使 用 2 . 2 中 介 绍 的 方 法 进 行 判 断 p a y l o a d 是 否 异 常 。 4 . 2 . 3   检 出 过 滤 检 出 过 滤 为 了 减 少 误 报 ， 过 滤 掉 一 些 正 常 的 路 由 器 发 送 的 数 据 包 ， 使 用 3 种 条 件 结 合 进 行 是 否 检 出 判 断 ： 存 在 有 非 法 t y p e 的 p a y l o a d 且 去 重 后 的 p a y l o a d 的 个 数 大 于 阈 值 ( 经 内 网 测 试 ， 个 别 路 由 器 会 发 送 有 畸 形 t y p e 的 p a y l o a d 内 容 一 样 的 包 ， 通 过 增 加 去 重 后 的 p a y l o a d 的 个 数 大 于 阈 值 来 过 滤 ) ; 请 求 响 应 数 据 包 不 一 致 ; 1 5 秒 内 的 数 据 包 个 数 、 非 正 常 长 度 数 据 包 个 数 、 异 常 内 容 数 据 包 个 数 、 去 重 后 的 p a y l o a d 的 个 数   大 于 自 定 义 的 阈 值 检 出 ( 经 内 网 测 试 ， 个 别 路 由 器 隔 几 个 小 时 会 发 送 有 异 常 内 容 的 但 是 内 容 只 有 几 个 字 符 不 一 样 的 p a y l o a d 心 跳 包 ， 通 过 增 加 去 重 ( 使 用 汉 明 距 离 去 重 ， 差 别 不 超 过 3 个 字 符 的 认 为 一 样 ) 后 的 p a y l o a d 的 个 数 大 于 阈 值 来 过 滤 ) 。 鉴 于 I c m p 隧 道 特 点 的 多 样 性 ， 只 要 满 足 3 者 之 一 ， 就 会 检 出 ， 对 于 一 些 极 端 异 常 的 I C M P 隧 道 产 生 的 包 ， 比 如 隧 道 只 有 请 求 包 没 有 响 应 包 即 一 直 往 外 发 数 据 ， 则 i d _ s e q 去 重 后 为 1 0 ( 1 0 次 全 是 请 求 包 ， 且 s e q 递 增 ) ， p a y l o a d 去 重 后 为 1 0 ， 无 法 单 独 通 过 2 检 出 ， 但 是 可 以 满 足 3 ， 一 样 会 检 出 ， 不 会 漏 报 。 五 、 模 型 效 果 五 、 模 型 效 果 5 . 1   负 样 本 检 测 效 果 负 样 本 检 测 效 果
目 前 测 试 过 程 中 使 用 的 已 知 负 样 本 有 以 下 几 种 ： i c m p T u n n e l 样 本 ， 使 用 i c m p T u n n e l 隧 道 工 具 造 的 样 本 ； i c m p t r a n s m i t t e r 样 本 ， 使 用 i c m p t r a n s m i t t e r 隧 道 工 具 造 的 样 本 ； i c m p s h 样 本 ， 使 用 i c m p s h 隧 道 工 具 造 的 样 本 ； b a d p i n g 样 本 ， 使 用 p y t h o n 脚 本 手 动 造 的 i c m p 的 异 常 数 据 包 。 异 常 样 本 检 测 准 确 率 如 下 ： 5 . 2   正 样 本 检 测 效 果 正 样 本 检 测 效 果 目 前 测 试 过 程 中 使 用 的 已 知 正 样 本 有 以 下 几 种 ： 正 常 P i n g 数 据 包 ， P i n g 命 令 产 生 的 数 据 包 ， 平 台 包 括 l i n u x / w i n / m a c / s o l a r i s / a n d r o i d / i o s ， p a y l o a d 内 容 如 下 ： a b c d e f g 1 2 3 4 5 等 。 网 络 设 备 心 跳 包 ， 路 由 器 等 网 络 设 备 会 定 时 发 送 的 一 些 心 跳 包 ， p a y l o a d 内 容 如 下 ： D a t a B u f f e r   0 0 0 0 0 0 1 、 D a t a B u f f e r   0 0 0 0 0 0 2 等 。 正 常 样 本 误 报 率 如 下 ， 其 中 I o s 平 台 偶 尔 有 误 报 ： 六 、 总 结 六 、 总 结 本 文 介 绍 了 基 于 统 计 的 检 测 I C M P 隧 道 方 法 和 落 地 实 施 中 的 一 些 技 术 细 节 。 首 先 ， 基 于 统 计 的 I C M P 检 测 重 点 是 需 要 了 解 I C M P 隧 道 的 工 作 原 理 和 一 些 特 征 指 标 ， 只 有 较 好 的 指 标 才 能 保 证 在 真 实 环 境 中 的 检 出 效 果 。 其 次 ， 为 了 达 到 在 线 实 时 检 测 ， 我 们 在 文 中 介 绍 了 结 合 S p a r k   S t r e a m i n g 进 行 实 时 统 计 各 种 指 标 ， 检 出 超 出 阈 值 的 数 据 。 最 后 ， 通 过 分 别 对 正 样 本 和 负 样 本 进 行 测 试 ， 调 整 检 出 阈 值 ， 提 高 了 检 测 准 确 度 。 作 者 ： 斗 象 能 力 中 心 T C C - C h r i s T C C 团 队 长 期 招 聘 ， 包 含 各 细 分 领 域 安 全 研 究 、 机 器 学 习 、 数 据 分 析 、 大 数 据 研 发 、 安 全 研 发 等 职 位 。 感 兴 趣 不 妨 联 系 我 们 。 E m a i l :   a l e x . x u @ t o p h a n t . c o m 。 推 荐 阅 读
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理