Выявление сетевых атак в трафике

Доброго всем времени суток!

Вот для меня новая тема, но надо сделать - отмониторить трафик - нет ли там каких сетевых угроз.
Почитал теорию, почитал про методы анализа и все такое... Но пока еще не знаю с чего начать и куда курить. Все, что я сделал для начала, это сетевой сниффер. Нашел какой-то прототип на винапи и прикрутил его на MFC - это самое простое. И вот у меня на руках поток байтов, проходящих через сетевую карту компьютера. Сниффер умеет перехватывать пакеты по куче протоколов - я знаю только ftp, udp, tcp и еще штуки 3, а снифер знает штук 20 протоколов и по всем хватает пакеты из сети. Ну и толку с этого... Перехватвает и перехватывает. А вот как в перехваченной информации найти сетевую атаку. Знаю, что это задача не самая простая, но мне бы что-то, что хоть отдаленно напоминает на поиск атак - хотя бы сигнатурный поиск или циклический анализатор трафика для поиска в нем аномалий поведения. Язык реализации не важен, важна внятная идея! Заранее спасибо за любую помощь!

Для начала определись какой именно вид сетевых атак ты хочешь обнаруживать. Их много,
знаешь ли... SYN-flood, например, обнаруживается по количеству SYN-пакетов.

Posted via ActualForum NNTP Server 1.5

Думаю надо начинать с изучения типов атак https://www.google.com/search?q=разновидности DDOS

А если просто выявить аномалии в трафике?

Galadriel75
А если просто выявить аномалии в трафике?

Атаки могут использовать и не аномальный траффик.

Posted via ActualForum NNTP Server 1.5

Хорошо, атаки атаками, как тогда можно просто выявить значимые изменения сетевого трафика? Не атаки ловить, а просто ощутимые изменения трафика?

Galadriel75
как тогда можно просто выявить значимые изменения сетевого трафика?

Определить мат.ожидание и дисперсию характеристик. Фиксировать отклонение характеристики,
превышающее Х процентов от номинала.

Posted via ActualForum NNTP Server 1.5

Шаг 1. Выбрать несколько атак, которые будешь ловить в первую очередь.
Шаг 2. Для каждой - выписать признаки, пример "100 tcp syn за последнюю секунду".
Дальше остается оценить какие данные понадобятся для проверки этих признаков. Результатом всех описанных действий будет почти готовое ТЗ.

Galadriel75
Вот для меня новая тема, но надо сделать - отмониторить трафик - нет ли там каких сетевых угроз. Почитал теорию, почитал про методы анализа и все такое... Но пока еще не знаю с чего начать и куда курить. Все, что я сделал для начала, это сетевой сниффер. Нашел какой-то прототип на винапи и прикрутил его на MFC - это самое простое.

И куда ты со своим MFC сунешся? Большинство серверов и маршрутизаторов стоят под *nix-ами.

главный вид атак - DDoS - вообще никак не ловится, потому, что по сути это - штатное использование сервиса.
Ловится оно только на прикладном уровне, где можно например понял, что человек 200 раз пытается безуспешно залогиниться, а если трафик шифрованный, то вообще не ловится.