موضوع مقاله: Intrusion detection system evasion techniques | مخاطب: عمومی | لحن: دانشنامه‌ای | ساختار: عنوان، مقدمه، 3 بخش، جمع‌بندی | مقاله: | # Intrusion detection system evasion techniques | مقدمه: تکنیک‌های دور زدن سیستم تشخیص نفوذ تکنیک‌های دور زدن سیستم تشخیص نفوذ (IDS) تغییراتی هستند که به حملات اعمال می‌شوند تا از تشخیص توسط سیستم تشخیص نفوذ جلوگیری کنند. | ## بخش 1: Intrusion detection system evasion techniques | مقاله سال ۱۹۹۸ با عنوان "درج، دور زدن و محرومیت از سرویس: فرار از تشخیص نفوذ شبکه" موضوع دور زدن IDS را رواج داد و هم تکنیک‌های دور زدن و هم مناطقی که تفسیر صحیح بستگی به سیستم کامپیوتری هدف داشت را بررسی کرد. اکثر سیستم‌های IDS برای تشخیص یا حتی معکوس کردن تکنیک‌های پایه‌ای دور زدن اصلاح شده‌اند، اما دور زدن IDS (و مقابله با دور زدن IDS) هنوز از زمینه‌های فعال تحقیقاتی هستند. پنهان‌سازی یک سیستم تشخیص نفوذ (IDS) را می‌توان با پنهان‌سازی یا کدگذاری محموله حمله به گونه‌ای دور زد که سیستم هدف آن را معکوس کند اما IDS قادر به این کار نباشد. به این ترتیب، مهاجم می‌تواند از میزبان هدف سوءاستفاده کند بدون اینکه IDS هشدار دهد. پنهان‌سازی یک سیستم تشخیص نفوذ (IDS) را می‌توان با پنهان‌سازی یا کدگذاری محموله حمله به گونه‌ای دور زد که سیستم هدف آن را تفسیر کند اما IDS قادر به تشخیص آن نباشد. به این ترتیب، مهاجم می‌تواند میزبان هدف را مورد سوءاستفاده قرار دهد بدون اینکه IDS هشدار دهد. کدگذاری پروتکل‌های لایه کاربردی مانند HTTP امکان کدگذاری‌های متعددی از داده‌ها را فراهم می‌کنند که به عنوان مقدار یکسان تفسیر می‌شوند. یک سرور وب این موارد را به عنوان رشته یکسان در نظر گرفته و بر همین اساس عمل می‌کند. چندشکلی سیستم‌های تشخیص نفوذ مبتنی بر امضا اغلب به دنبال الگوهای حمله رایج هستند تا ترافیک مخرب را با امضاها مطابقت دهند. مهاجمان می‌توانند از [چندشکلی] برای ایجاد الگوهای حمله منحصر به فرد استفاده کنند. این تکنیک معمولاً شامل کدگذاری محموله به روشی خاص (مثلاً XOR کردن هر بایت با 0x95) و سپس قرار دادن یک رمزگشا در جلوی محموله قبل از ارسال آن است. حملات چندشکلی دارای یک امضای قابل تشخیص واحد نیستند، بنابراین تشخیص آنها برای IDSهای مبتنی بر امضا و حتی برخی IDSهای مبتنی بر ناهنجاری بسیار دشوار است. | ## بخش 2: Intrusion detection system evasion techniques | یک روش ساده برای تقسیم بسته‌ها، آنهاست، اما یک همچنین می‌تواند به سادگی بسته‌هایی با محموله‌های کوچک بسازد. به خودی خود، بسته‌های کوچک نمی‌توانند از هیچ IDS که جریان بسته را مونتاژ می‌کند فرار کنند. با این حال، بسته‌های کوچک را می‌توان بیشتر تغییر داد تا مونتاژ و تشخیص پیچیده شود. یک تکنیک فرار، مکث بین ارسال بخش‌های حمله است، به این امید که IDS قبل از میزبان هدف زمانش به پایان برسد. قطعات همپوشانی و بخش‌های TCP تکنیک دیگر فرار، ساخت یک سری بسته با [توالی TCP] پیکربندی شده برای همپوشانی است. به عنوان مثال، بسته اول شامل 80 بایت محموله خواهد بود، اما شماره توالی بسته دوم 76 بایت پس از شروع بسته اول خواهد بود. هنگامی که میزبان هدف جریان TCP را مونتاژ می‌کند، باید تصمیم بگیرد که چگونه با 4 بایت همپوشانی برخورد کند. اگر IDS جریان TCP را به همان روش میزبان هدف مونتاژ نکند، می‌توان آن را فریب داد تا بخشی از محموله حمله را از دست بدهد یا داده بی‌خطر وارد شده در محموله مخرب را ببیند، که امضای حمله را می‌شکند. ابهامات برخی تکنیک‌های فرار از IDS شامل دستکاری عمدی پروتکل‌های یا IP به گونه‌ای است که میزبان هدف به شکلی متفاوت از IDS با آن برخورد کند. به عنوان مثال، اشاره‌گر فوری TCP در سیستم‌های عامل مختلف به صورت متفاوتی مدیریت می‌شود. اگر IDS این نقض پروتکل‌ها را به روشی سازگار با میزبان‌های هدف خود مدیریت نکند، در برابر تکنیک‌های درج و فرار مشابه موارد ذکر شده آسیب‌پذیر است. حملات پهنای باند کم حملاتی که در یک دوره زمانی طولانی یا تعداد زیادی از آدرس‌های IP منبع پخش می‌شوند، مانند اسکن آهسته nmap، می‌توانند از میان ترافیک عادی به سختی قابل تشخیص باشند. | ## بخش 3: Intrusion detection system evasion techniques | یک [رمز عبور] آنلاین که هر روز یک رمز عبور برای هر کاربر آزمایش می‌کند، تقریباً شبیه به یک کاربر عادی که رمز عبور خود را اشتباه تایپ کرده است به نظر می‌رسد. محرومیت از سرویس با توجه به اینکه IDSهای غیرفعال ذاتاً به حالت باز شکست می‌خورند (به جای حالت بسته)، راه‌اندازی یک [محرومیت از سرویس] علیه IDS در یک شبکه، روشی عملی برای دور زدن محافظت آن است. اگر CPU تحت بار زیاد باشد، نمی‌تواند بسته‌ها را به اندازه کافی سریع پردازش کند و این بافر پر می‌شود. به عنوان مثال، سیستم‌های تشخیص نفوذ مبتنی بر امضا از الگوریتم‌های تطبیق الگو برای مطابقت بسته‌های ورودی با امضاهای حملات شناخته شده استفاده می‌کنند. یک مهاجم می‌تواند با استفاده از این واقعیت، ترافیک شبکه‌ای را به گونه‌ای طراحی کند که IDS مجبور شود حداکثر زمان CPU ممکن را برای اجرای الگوریتم تطبیق الگوی خود روی ترافیک صرف کند. این [پیچیدگی الگوریتمی] می‌تواند IDS را با مقدار نسبتاً کمی از پهنای باند تحت فشار قرار دهد. خستگی حافظه برای مطابقت با برخی امضاها، یک IDS ملزم به حفظ حالت مربوط به اتصالاتی است که تحت نظر دارد. هنگامی که تمام [با دسترسی تصادفی] (RAM) IDS مصرف شود، مجبور به استفاده از حافظه مجازی روی هارد دیسک می‌شود که بسیار کندتر از RAM است و منجر به مشکلات عملکردی و حذف بسته‌ها مشابه اثرات خستگی CPU می‌شود. حملات مشابهی را می‌توان با تکه‌تکه‌سازی تعداد زیادی بسته به تعداد بیشتری بسته کوچک، یا ارسال تعداد زیادی بخش TCP خارج از ترتیب انجام داد. خستگی اپراتور هشدارهای تولید شده توسط یک IDS باید مورد توجه قرار گیرند تا ارزشی داشته باشند. یک مهاجم می‌تواند «در دسترس بودن» یک IDS را با بمباران اپراتور انسانی با تعداد نامتعارفی از هشدارها از طریق ارسال مقدار زیادی ترافیک «مخرب» که برای تولید هشدار روی IDS طراحی شده‌اند، کاهش دهد. مهاجم سپس می‌تواند حمله واقعی را با استفاده از سروصداهای هشدار به عنوان پوشش انجام دهد. | ## جمع‌بندی | آنها تعداد زیادی هشدار IDS با ارسال امضای حمله در شبکه تولید می‌کنند، اما در IDSهایی که زمینه پروتکل برنامه را حفظ می‌کنند، هشدار ایجاد نمی‌کنند.