14、深入解析psad：网络扫描检测与高级应用
深入解析psad：网络扫描检测与高级应用
1. psad对不同类型扫描的检测
1.1 TCP选项差异
在Nmap的SYN扫描中，TCP头部的选项部分明显更短。它仅使用一个选项，即最大段大小（Maximum Segment Size），并将其设置为1460。而大多数真实的TCP栈除了最大段大小外，还会发送多个选项，如时间戳（Timestamp）、无操作（No Operation，NOP）以及是否支持选择性确认（Selective Acknowledgment，SACK）。
1.2 TCP FIN、XMAS和NULL扫描
- 扫描特点：Nmap的FIN、XMAS和NULL扫描在iptables日志消息中的表现颇为相似，它们的主要区别在于所使用的TCP标志组合，这一差异会在iptables记录TCP数据包的日志格式中的TCP标志部分体现出来。
- 检测方式：由于这三种扫描都有对应的Snort规则，且无需进行应用层检查，因此psad可以通过单个数据包来检测这些扫描，而不必依赖数据包数量和端口范围。
- 操作步骤：可以使用Nmap的
-sF、-sN和-sX命令行参数分别发起FIN、NULL和XMAS扫描。以下是发起FIN扫描的示例：
[ext_scanner]# nmap -sF -n 71.157.X.X