如何通过网络分析验证IPS设备攻击

每个用户都希望安全问题能自动预警,无论是IDS还是IPS,每天都会有无数的警报,那么多的警报,哪些是正确的,有没有误报,有没有漏报,这个成了新的问题。

 

14.1 问题描述

 

某网站用户根据IPS上报的日志发现:每周该网站服务器都会上报由内到外发起的Adobe Acrobat/Reader BMP处理远程栈缓冲区溢出(APSB11-24)攻击,数量非常多。用户不能确定业务系统是否存在问题。

我们知道Adobe Acrobat(10.1)和Reader(10.0.1)及更早版本的Windows和Macintosh版软件,存在远程代码执行漏洞。远程攻击者可利用此漏洞执行任意代码,属于应用程序漏洞。

 

14.2 分析过程

 

我们对IPS上报该问题最严重的主机(X.X.212.65)进行数据采集及详细分析,如下图所示。

图 14-1

通过上图我们可以发现该IP的访问时段比较集中,主要发生在夜间和凌晨。我们下载数据包对其进行精细分析,如下图所示。

图 14-2

查看TCP会话视图发现,X.X.212.65与内部服务器通讯的TCP会话,全部是由X.X.212.65发起连接,访问服务器的80端口(如上图)。所以IPS上报的由内到外的攻击是属于误报。

图 14-3

通过查看HTTP请求日志发现,X.X.212.65主机请求的内容全部是http://www.XX.com/xx 137.pdf。

图 14-4

在每个TCP会话中,我们都能够看到很多TTL值与正常通讯数据包存在差异的RST(重置)数据包。说明在数据传输的过程中,该链接被IPS阻断掉了。而在1318秒之后,客户端又会继续请求该链接,该过程会重复多次。

由于该漏洞是针对于Adobe的应用程序的漏洞,所以对内部服务器的影响不大。为了排除内部网站服务器被恶意控制的可能性,我们再来分析被请求的文件是否正常。我们下载了该文件,并且对其进行病毒查杀,并未发现任何异常,如下图所示。

图 14-5

图 14-6

我们又下载了几个上报该问题IP的数据包分析,发现其他IP多是对该网站的爬站行为。请求到http://www.XX.com/xx 137.pdf链接时发生报警,如下图所示。

图 14-7

为了验证IPS的上报准确性,我们下载该文件,查看IPS的处理行为。

图 14-8

图 14-9

我们从互联网上下载该PDF文件,看到IPS上报由内到外的(APSB11-24)Adobe Acrobat/Reader BMP处理远程栈缓冲区溢出攻击,目的地址为X.X.32.11(本机IP地址),见上两图。而我们的操作,仅仅是从外网正常的下载了正常的文件。所以证明该项警报为误报。

 

14.3 分析结论及建议

 

经过上述分析,我们认为该行为是正常的下载PDF文件的行为。由于该PDF文件编码中,可能含有和该攻击特征值相同的字段,所以IPS会误报为(APSB11-24)Adobe Acrobat/Reader BMP处理远程栈缓冲区溢出攻击,并且对其进行了阻断。被阻断后客户端因某种原因继续请求该文件,所以IPS对该攻击的上报次数非常多。

建议用户向IPS设备厂家核实该警报的特征库,是否有更新的特征库。如果有更新,对IPS进行升级;修改IPS策略,把阻断行为改为警告。由于该漏洞是应用程序漏洞,即使请求该链接,也只是普通的文件下载,不会对服务器造成影响。

 

14.4 价值

 

网络分析技术可以很好地补充常规网络管理手段。运维人员可以凭此技术,深入分析IPS等安全设备的告警信息,并能提供数据包级的分析依据,帮助用户准确的分析、定位安全事件。

免费测试申请及购买咨询

您的名字 :

您的手机 :

您的邮箱 :

公司名称 :

您的职位 :

公司地址 :

网络规模 :

购买用途 :

补充留言:

陕西快乐十分