常見入侵手法分類
1. 探測與偵察
- Ping掃描、OS指紋識別、弱帳號掃描、Email偵察
- TCP/UDP端口掃描（SYN、Connect、FIN、Xmas、Null掃描）
- Web服務器CGI漏洞掃描（TextCounter、GuestBook、FormMail等已知漏洞程式）
2. 漏洞利用（獲取控制權）
| 類別 | 典型手法 | 偵測重點 |
|---|
| CGI漏洞 | 訪問已知漏洞腳本（nph-test-cgi、php.cgi等） | Web日誌中高頻請求特定CGI路徑 |
| Web伺服器漏洞 | 目錄遍歷（../）、源碼洩露（::$DATA） | URL含編碼路徑遍歷序列 |
| 瀏覽器漏洞 | 緩衝區溢出URL、畸形HTTP Header、MIME溢出、惡意JavaScript/ActiveX | 客戶端異常下載/執行行為 |
| SMTP/IMAP漏洞 | 緩衝區溢出、VRFY枚舉用戶 | 郵件伺服器異常SMTP命令序列 |
| IP欺騙 | 偽造來源IP發起攻擊，單向通訊 | 反向路徑檢查失敗、非對稱路由 |
| 緩衝區溢出 | DNS/statd超長參數、各類服務溢出 | 異常長度參數、Shellcode特徵碼 |
3. DoS/DDoS攻擊
純破壞可用性，「損人不利己」。常見：死亡之Ping、SYN Flood、Land攻擊。頻率與規模持續攀升，需協同上游運營商清洗。
NIDS偵測到入侵後的自動響應動作
- 動態重配防火牆/路由器ACL封鎖攻擊源IP
- 播放聲音告警（.wav）通知值班人員
- 發送SNMP Trap至管理控制台
- 記錄系統日誌（含時間、來源/目的IP/埠、協定、相關封包）
- 發送Email/簡訊/BP機通知管理員
- 啟動自定義腳本/劇本處理（如隔離VLAN、啟動取證）
- 偽造TCP FIN/RST封包強制斷開惡意連線
部署與運營關鍵建議
- 感測器部署點：邊界入口、核心交換機鏡像埠、關鍵伺服器區段、DMZ、無線網路控制器。
- 規則調優：基於基線流量調整閾值，啟用規則分類（平衡/安全/連接性），定期訂閱威脅情報更新特徵庫。
- 告警分級：建立四級分級（資訊/低/中/高/關鍵），高/關鍵級觸發自動響應與人工介入。
- 日誌保留與審計：滿足合規要求（至少6個月），支援全文檢索與關聯分析。
- 紅隊演練驗證：每季模擬真實攻擊鏈，驗證偵測覆蓋率與響應時效。
IDS/IPS非裝即走，持續調優與威脅情報融合才是發揮價值的關鍵。將偵測能力轉化為可執行的響應劇本，方能實現「防患於未然」。