本文主要是介绍材料阅读:IDS的绕过(消耗资源方式),希望对大家解决编程问题提供一定的参考价值,需要的开发者们随着小编来一起学习吧!
20210310 -
0. 引言
今天阅读了安全客的一篇文章《我们来谈一谈IDS签名》,实际上这篇文章是作者翻译过来的,机翻的感觉很强,例如指纹,就被翻译为了签名。
1. 文章简介
这篇文章主要介绍了,IDS的主要功能以及其大致的工作方式,利用字符串指纹的模式匹配的方法,之前的时候也提到过,对于IDS来说,都是采用字符串硬匹配或者正则表达式的方法。
而本篇文章所传递的想法就是,利用IDS指纹匹配过程中,正则表达式匹配中可能出现的类DDos的漏洞,来绕过IDS,本质上就是通过构造恶意的样本,消耗IDS在匹配过程中的计算资源。
2. 读后思考
实际上,这篇文章感觉读起来比较晦涩,就是因为很多地方的翻译不够准确,而且读起来也不通顺,就给人感觉很奇怪。但是在阅读这篇文章的时候,也引起了很多我的思考。之前的时候就看到过一些安全公司招聘,需要员工维护IDS规则库。
2.1 规则的生成
研究人员对于突然出现的网络攻击威胁,首先会对其分析,得到如何检测这一攻击的规则。抽取其中的特征,并将结果转化为一个或多个签名并用IDS能够理解的语言编写出来。
在这种规则生成的过程中,很多论文都有这方面的涉及,比较有代表性的,就是利用频繁项挖掘算法。当然,我觉得比较有经验的工程师应该也能直接人眼看出来,不过这种的话,利用机器来进行学习,同时进行一些互斥性,完备性的验证,会更好。
规则生成的过程中,需要考虑一些因素,这个规则的表现形式是什么样子,是直接的某个字符串,还是利用正则表达式。这个有时候就要结合底层的模式匹配引擎来分析。
所以这方面应该考虑两个问题:1)规则如何生成,是否有现有的工具2)规则生成的形式是什么样子,是否有较为成熟的管理工具
2.2 规则的匹配过程
在我写的另外一篇文章《深度包检测(DPI)的记录》也思考过这方面的问题,今天在看这篇文章的时候,也想到了这部分。在这篇文章中,开始时提到了几个假设,这些假设在文章中也被验证。
1)找到子字符串比证明没有找到匹配的子字符串耗时更短
2)正则表达式方式比直接字符查找更耗时
而他利用这些假设进行绕过的方式,就是因为正则表达式中存在的一个问题,灾难性回溯,之前研究字符串匹配算法的时候简单了解过。
而通过这个问题让我开始思考,IDS使用的引擎,他们的底层的字符串匹配过程是什么原理,这个一定要清楚,这样才能在查看每条规则的匹配耗时时,能够更清晰的有改进方案。
这篇关于材料阅读:IDS的绕过(消耗资源方式)的文章就介绍到这儿,希望我们推荐的文章对编程师们有所帮助!