如何实时检测 IP 偷窥

利用流量分析，过滤和内核水平检查，迅速发现假包源，实时检测IP偷窥。

• 实时IP偷窥检测混合滤波，流量剖析和内核级遥测，用于快速，准确的响应。

• 结合eBPF，NBAD和路由验证，在不损害性能的情况下提供企业准备防御。

理解 IP 偷窥及其为何重要  

您不需要任何奇特的IP。 只要稍微调整一下包裹， 比如说，一个服务器，你的防火墙通常信任，或者可能是应该存在于网络里的东西。 仅此而已往往足以绕过简单的过滤器，获得一个系统毫无疑问的响应，或者将假冒的要求淹没的服务作为拒绝服务攻击的一部分。 造成伤害的不是行为本身， 通过掩盖交通真正来自何处，攻击者得到的只是足够的掩护，可以发动更严重的攻击而不易归属。 但是这为许多肮脏的事物扫清了道路， 认为TCP会话劫持机或SYN洪水，

早些时候，更可预测的网络，抓住这种活动就不那么复杂。 设备生活在固定的地方，IP很少改变，交通也有熟悉的模式。 但今天的情况很不一样 云部署会不断转移工作量，用户会从家、咖啡馆或世界一半的地方登录，甚至内部应用程序也可能跨越多个云供应商。 这种流畅性使得更难辨别什么是真正的交通。 Spoofed 包更容易混合， 传统信任标记—— 如 IP 地址 范围 — — 不是指他们以前做过的。 这使得实时偷窥侦测不仅是表现上的考虑，而且是安全的必要。

为什么实时偷窥的发现其实很重要

被偷袭的交通太迟了 就像马跑出来后关上大门一样 只要一个假包就可以通过基本的信任检查， 更糟糕的是， 偷窥不只是让人进来，

更巧妙的时候 DDoS攻击。 当每个假包来自不同的伪造地址时，试图基于来源IP进行阻断基本上是无用的。 交通似乎合法， 到了你意识到它被蒙蔽的时候，你已经陷入了困境。 你真的想趁它还没到那么远的时候抓住它，

有了正确的设置，您可以提前发现数据包，封锁，切断源头，或者在事情螺旋之前调整过滤器。 你也可以得到干净的日志来配合 计划，进入点，源的声称 —— 都在数据包输入时被捕获。 在今天的威胁地貌中， 攻击几秒钟就会发生， 实时能见度并不是奖励，

进退两难过滤：从哪里开始？  

最容易阻止被偷盗的交通的方法之一仍然是最古老的方法之一：检查它来自何处， 入侵过滤只是看进货包，然后问“这架IP是否从外面抵达？” 如果它装作来自您的内部地址空间， 放下枪 结束了。

Egress过滤会反转同样的逻辑。 它不问“这是从哪里来的？” 而是问“这是否应该发生？” 如果你的网络里有些东西， 可能是被损坏的服务器， 也可能是操作不当的脚本， 没有Egress过滤器，你的基础设施最终可能会帮助别人的DDoS攻击，而你甚至不知道这一点。

在两者之间，您要同时覆盖出入口。 虽然它可能感觉很基本，但这种过滤仍然是第一道——有时是唯一的——线，它站在你和大量伪造的交通之间。

网络接口验证：使用路由逻辑  

界面检查是其中一项， 这个想法已经足够简单了：确保包裹显示在他们应该到的地方。 如果有东西自称来自内部子网， 要么是有人在装，要么是你的路线走偏了。

这种验证在更大的机构设置中特别有用， 当你的IP空间被切开并绘制出地图时，交通倾向于沿着可预测的路线。 所以，如果一个包 一个奇怪的绕道， 它突出。 执行将流量与预期接口匹配的规则，有助于在触摸任何重要东西之前阻断被戳的包。

一个很好的例子就是逆向前进(RPF)， RPF基本上问：“我能从它进入的界面中找到这个IP吗？” 如果答案是否定的，它会掉包。 攻击者试图潜入不太明显的道路。

也不只是在偷窥。 界面验证还可以捕捉路线劫持者，在那里有人试图伪造IP所有权，并改变交通路线。 如果你有最新的路由表， 并且你正在检查包裹是如何来去的，

只有在其他几块已经坚固的情况下，它才有效。 以下是您首先要检查的内容：

• 已经到位的强有力的内侵/内侵过滤

• 运行实际上准确和同步的信息

• 在您最危险的区域进行验证—— 思考互联网边缘和DMZs

行为分析和异常检测(NBAD)  

NBAD(网络行为异常检测的简称)， 它不依靠签名或规则设定，而是看你们流量的形状：谁说话，多久说话，流量是什么样子。 像NetFlow和SFlow这样的工具，有助于在一段时间内建立那张照片。

换句话说， 一个IP突然开始爆破流量， 也许握手时会丢失一些旗帜。 这些东西都没有自己喊 " 攻击 " ，而是一起喊？ 他们讲了一个故事。 NBAD工具善于连接这些点，

机器学习通过培训模型来增强NBAD系统，这些模型涉及不同环境的"正常"外观——无论是用户登录时间，DNS请求频率，还是电子邮件服务器交互。 当一些不寻常的事情发生时，比如一个设备同时出现在两个地方，就会产生警报。 现代NBAD系统与SIEM平台融合，用于即时分拣和浓缩。

TTL 和 hop- counts： 捕捉斑点包的轻量级线索

TTL(Time To Live)和hop计数似乎很基本， 每次一包通过路由器，它的TTL就会缩小一个。 当它到达你身边时， 号码会给你一个正确的提示，

大多数内部系统都遵循相当稳定的路径，所以它们的包以一致的TTL到达。 如果你通常从一个本地设备中看到56TTL， 然后突然得到一个声称来自同一IP但TTL为120的包裹， 奇怪的是，它不是从它所说的那来的。 有些工具通过建立每个主机的“TTL剖面图”来更进一步， 再加上往返时间或追踪路线检查，

TTL分析不是防弹的。 负载平衡器，冗余路线，甚至配置错误的齿轮可以抛出预期值。 更聪明的系统会随时间调整基线， 与入侵过滤和NBAD等其他技术一起使用时，TTL跟踪会增加一个快速低影响力的核查层，常常会捕捉到被偷盗的流量，其他人错过。

核心层面检查：eBPF和实时验证  

扩展伯克利包滤镜(eBPF)是用于包检的游戏更改器。 在Linux内核内直接运行，eBPF允许自定义逻辑在网络接口级别运行——在包到达应用层之前。 这使得检测速度不仅更快，而且更加安全，因为在撞击用户或服务之前，可以丢弃假包。

例如，Kubernetes的PodCA系统使用eBPF来监控数据包元数据，并过滤出源IP，MAC地址和入侵设备中的异常。 因为它避免了用户空间的俯冲，eBPF工具每秒可以处理数百万包，对CPU负载的影响最小。

正如PodCA研究论文共同作者李旺博士所言：

“Kubernetes集群需要微二级数据包验证。 eBPF在不中断工作量的情况下带来这种速度。” (资料来源)

追踪偷袭的交通：为什么很难，

一旦你意识到一个包裹被偷盗了，你接下来想知道的是它实际上来自哪里。 这不容易。 Spoofing剥离了真正的源头， 大多数的IP级工具只是不够你工作。 大部分在研究环境或拥有整个网络路径的大组织中出现。

追踪技术也由此而来。 一些方法依赖于路由器，在包本身中添加一些路径信息——称为包标记。 也有人使用伐木， 路由器会记录他们看到的流量， 更高级的设置 散装每个包 路过， 存储结果 只要足够长 匹配在法医搜索。

每种方法都有取舍。 包装标记会进入有效载荷空间，可能需要路由器升级。 伐木需要一吨储存。 除非路边的每个网络都参与，

尽管如此，当涉及到内幕威胁或合规案件时，追踪是极其有用的。 它不会阻止攻击的发生， 但能帮助你理解它是如何度过的，

实时案例研究：DMF探测系统  

2016年，研究人员引入了DMF(Destination-MAC，Flow)算法——这个方法可以反射跨开关的流量，以建立IP-MAC-Time trits的相关数据库。 它通过发现包中这些属性的不一致之处来识别漏洞。

在模拟中，DMF在不到两分钟的时间里检测到精度为97.9%的Spoofed DDoS流量。 它还可能在7.4分钟内隔离受感染的宿主。 这些结果表明，在不依赖流量或攻击签名的情况下，将多个低级属性联系起来对高自信探测的价值(国家儿童局).

实时IP探测防御的最佳做法  

为了制定强有力的实时IP探测战略，各组织应：

1. 实施分层过滤：结合进内/进内过滤，路由检查，TTL分析。

2. 使用eBPF或DPDK：在撞击前在内核或数据平面层检查并拒绝包。

3. 持续剖面流量：对NBAD系统进行基线行为检测异常。

4. 与SIEM整合：预告与更广泛的安全背景的相关性。

5. 建立事件应对剧本：发现时自动隔离或规则更新。

问题  

1. 你能完全停止IP偷窥吗？
没有 因为IP头很容易伪造， 但是，随着层层探测和实时拒绝，偷窥效果会大大降低，更能被察觉。

2. 是什么使得NBAD不同于防火墙或IDS？
NBAD看的是行为模式，而不是静态规则。 它可以侦测到未知的攻击， 或偷盗与现有签名或ACL不匹配的漏洞包。

3. TTL和Hop如何帮助识别偷窥？
Spoofed包往往有不正确的TTL值。 通过保持预期的 TTL 配置文件， 系统可以拒绝不符合正常跳数的包 。

4. 什么是eBPF，为什么有效？
eBPF是一种Linux内核技术，允许快速，可编程的包分析。 它捕捉到潜伏性低的吸食，对于云母环境来说是理想的。

5. 实时检测是否减缓网络？

不，如果做对的话。 内核级工具如行速的eBPF进程包，意思是实时分析，没有明显的性能退化。