ISA2006入侵檢測(cè)的部署與實(shí)現(xiàn)ISAServer支持的入侵檢測(cè)項(xiàng)目一般攻擊的入侵檢測(cè)DNS攻擊的入侵檢測(cè)Pop入侵檢測(cè)阻止包含IP選項(xiàng)的數(shù)據(jù)包和IP片段的數(shù)據(jù)包淹沒(méi)緩解一般攻擊的入侵檢測(cè)AllportsscanattackISAServer會(huì)檢測(cè)入侵者掃描端口（port）的行為，可以指定端口的數(shù)量，只要掃描的端口超過(guò)該閾值，則發(fā)出警報(bào)。一般攻擊的入侵檢測(cè)-2系統(tǒng)默認(rèn)自動(dòng)開(kāi)啟入侵檢測(cè)功能，并且能夠自動(dòng)記錄入侵事件，進(jìn)而執(zhí)行相應(yīng)操作（如發(fā)送電子郵件或執(zhí)行指定程序等）一般攻擊的入侵檢測(cè)-3LandAttack：這種攻擊行為是入侵者將TCP數(shù)據(jù)包內(nèi)的源IP地址與端口改為欺騙的IP地址與端口，也就是說(shuō)它會(huì)將源IP地址、端口都改為與目的地址相同的IP地址和端口，該類型的攻擊可能會(huì)導(dǎo)致系統(tǒng)死機(jī)。UDPbombattack：入侵者會(huì)發(fā)送非法的UDP數(shù)據(jù)包，導(dǎo)致某些系統(tǒng)死機(jī)。Windowsout-of-bandattack：一個(gè)被成為WinNuke的程序會(huì)發(fā)送out-of-band（OOB）數(shù)據(jù)包給被攻擊者的139端口，該攻擊將導(dǎo)致網(wǎng)絡(luò)阻塞或系統(tǒng)死機(jī)一般攻擊的入侵檢測(cè)-4常用端口：若常用端口（well-knownports）中超過(guò)10個(gè)被掃描，則視為攻擊行為?！?～2048TCP/UDP】所有端口：所有端口中，只要有超過(guò)20個(gè)端口被掃描，則視為攻擊行為。端口數(shù)目可以自行調(diào)整DNS攻擊的入侵檢測(cè)DNS主機(jī)名溢出（DNShostnameoverflow）查詢DNS主機(jī)名的響應(yīng)數(shù)據(jù)包內(nèi)，其主機(jī)名的字段有固定長(zhǎng)度，而DNS主機(jī)名的溢出攻擊行為就是故意讓主機(jī)名超過(guò)此長(zhǎng)度。DNS長(zhǎng)度溢出（DNSlengthoverflow）查詢IP地址的DNS響應(yīng)數(shù)據(jù)包內(nèi)，有一個(gè)正常為4Bytes的長(zhǎng)度字段，而DNS長(zhǎng)度溢出的攻擊就是故意讓DNS響應(yīng)數(shù)據(jù)包超過(guò)長(zhǎng)度，造成有些應(yīng)用程序在執(zhí)行DNS查詢時(shí)發(fā)生內(nèi)部緩沖區(qū)溢出的現(xiàn)象，讓入侵者有機(jī)會(huì)執(zhí)行攻擊程序代碼。DNS攻擊的入侵檢測(cè)-2DNS區(qū)域轉(zhuǎn)移（DNSZonetransfer）它是發(fā)生在DNS客戶端應(yīng)用程序與內(nèi)部DNS服務(wù)器執(zhí)行區(qū)域轉(zhuǎn)移操作的時(shí)候。內(nèi)部DNS服務(wù)器的區(qū)域內(nèi)一般都包含有內(nèi)部網(wǎng)絡(luò)的重要信息，不應(yīng)該被利用區(qū)域轉(zhuǎn)移的方式發(fā)送到外部POP入侵檢測(cè)POP入侵檢測(cè)：ISA的POP入侵檢測(cè)篩選器會(huì)攔截與分析送到內(nèi)部網(wǎng)絡(luò)的POP流量，來(lái)檢測(cè)是否有POP緩沖區(qū)溢出的攻擊行為【默認(rèn)自動(dòng)開(kāi)啟】阻止包含IP選項(xiàng)的數(shù)據(jù)包有些入侵行為是通過(guò)IP頭內(nèi)的IP選項(xiàng)來(lái)實(shí)現(xiàn)攻擊的，尤其是通過(guò)源路由（sourcerouting）選項(xiàng)來(lái)攻擊內(nèi)部網(wǎng)絡(luò)的計(jì)算機(jī)?？梢栽O(shè)置ISAServer拒絕包含此類IP選項(xiàng)的數(shù)據(jù)包。阻止IP片段的數(shù)據(jù)包概述：一個(gè)IP數(shù)據(jù)包可以被分解為多個(gè)較小的數(shù)據(jù)包進(jìn)行發(fā)送，這些較小的數(shù)據(jù)包稱之為IP片段（或分片）。當(dāng)目的計(jì)算機(jī)接收到這些IP片段之后，會(huì)根據(jù)數(shù)據(jù)包內(nèi)部的offset（間距）數(shù)據(jù)進(jìn)行重組。例如：正常的IP片段的offset數(shù)據(jù)為IP片段1：offset100–300IP片段2：offset301–600上述表示第一個(gè)IP片段占用原始數(shù)據(jù)包的第100至300的位置，而第二個(gè)IP片段占用原始數(shù)據(jù)包的第301至600的位置阻止IP片段的數(shù)據(jù)包-2IP片段的攻擊方式就是故意讓offset數(shù)據(jù)重疊例如：IP片段1：offset100–300IP片段2：offset200–400當(dāng)目地計(jì)算機(jī)收到數(shù)據(jù)后，無(wú)法進(jìn)行IP片段重組，因此可能導(dǎo)致計(jì)算機(jī)死機(jī)或重啟阻止IP片段的數(shù)據(jù)包-3注意事項(xiàng)1.啟用該功能后可能會(huì)干擾音頻/視頻流2.可能無(wú)法建立L2TP/IPSECVPN連接，因?yàn)閳?zhí)行證書(shū)