Целостность потока TCP
Нарушения конечного автомата TCP, нумерации и сборки — ранние признаки перехвата сессии и обхода IDS.
- Аномалия метки времени TCP Сегменты, у которых опция метки времени TCP противоречит контексту сессии.
- Избыточные повторные передачи Один и тот же сегмент передаётся повторно чаще порогового значения.
- FIN/сегмент вне окна FIN или сегменты за пределами окна приёма TCP.
- Неверный порядковый номер Пакеты с неожиданным seq во время рукопожатия или закрытия соединения.
- Некорректный ACK Пакеты с номером ACK, не согласованным с состоянием сессии.
- Обход на этапе рукопожатия Манипуляция seq/ack трёхэтапного рукопожатия, нарушающая сборку потока в IDS.
- Аномалия повторных SYN Повторяющиеся SYN с разными seq при установке соединения.
- Слишком много различных SYN Попытки соединения с множеством различающихся SYN / SYN-ACK.
- Подозрение на внедрение RST Пакеты RST, вставленные вразрез с ходом сессии.
- Перекрытие при сборке Сегменты с разным содержимым, перекрывающиеся по одному и тому же смещению.
Декодирование пакетов
Целостность разбора пакетов и заголовков (контрольная сумма, опции, длина). Чаще всего шум, иногда подделка или снятие отпечатков.
- Ошибка контрольной суммы TCP Пакеты TCPv4 с неверной контрольной суммой.
- Ошибка контрольной суммы UDP Пакеты UDPv4 с неверной контрольной суммой.
- Аномальная длина опций TCP Длина поля опций TCP выходит за пределы спецификации.
- Аномальная длина заголовка Длина заголовка TCP/IP слишком мала или нарушает спецификацию.
Аномалия протокола
Отклонения протокола прикладного уровня — маскировка портов, туннелирование и признаки скрытых каналов.
- Односторонний протокол Протокол прикладного уровня наблюдается только в одном направлении.
- Несоответствие протокола Протокол прикладного уровня отличается от ожидаемого для этого порта или направления.
- Первые данные в обратную сторону Первые данные идут в направлении, обратном ожидаемому.
- Неожиданный протокол Протокол, который не может законно появиться в этой сессии.
- Понижение STARTTLS После согласования STARTTLS переход на TLS так и не произошёл.
Соответствие HTTP
Нарушения протокола HTTP — контрабанда запросов, обход WAF и поверхность атак через заголовок Host.
- Рассинхронизация ответов (контрабанда) Поток HTTP, в котором не удаётся сопоставить пары «запрос — ответ».
- Неожиданное тело запроса Тело присутствует у метода, который не должен его нести.
- Неполная строка запроса Строка запроса не завершается по спецификации.
- Недопустимый символ Символы, нарушающие спецификацию, в методе или URI.
- Аномалия заголовка Host Запросы с отсутствующим или некорректным заголовком Host.
Аномалия TLS
Аномалии рукопожатия и записей TLS — поверхность для понижения версии, сканирования и эксплойтов (Heartbleed).
- Аномалия записи TLS Некорректно сформированные записи или трафик TLS.
- Аномальный тип записи TLS Недопустимый тип записи TLS.
- Оповещение об ошибке TLS Ошибка TLS (alert) во время рукопожатия.
- Некорректное рукопожатие TLS Нарушение длины или структуры сообщений рукопожатия.
- Подозрение на Heartbleed Аномальный heartbeat, нацеленный на утечку памяти (CVE-2014-0160).
Аномалия DNS
Аномалии в ответах DNS — отравление кеша, подмена и признаки атак с отражением.
- Незапрошенный ответ DNS Ответ DNS, пришедший без запроса.
Почта (SMTP)
Аномалии сессий SMTP — спам, злоупотребление ретрансляцией и прощупывание почтовых серверов.
- Команда DATA отклонена Сервер отклонил команду DATA.
- Отсутствует приветствие SMTP Сессия продолжается без приветствия сервера (220).
- Некорректный ответ SMTP Ответ SMTP, выходящий за рамки спецификации.
Шаблоны веб-атак
Шаблоны атак на веб-приложения — подозрительные запросы nginx, разнесённые на разведку, инъекции и RCE.
- Поиск файлов с секретами Подозрительные запросы к .env, .git, файлам конфигурации и ключей.
- Обход каталогов Доступ к файлам через ../, различные кодировки и системные пути.
- SQL-инъекция Полезные нагрузки с UNION, information_schema, а также логические и временные варианты.
- Межсайтовый скриптинг Теги script, обработчики событий и полезные нагрузки, обращающиеся к cookie.
- Прощупывание удалённого выполнения кода Полезные нагрузки для оболочки, выполнения команд, десериализации и JNDI.
- Атака на страницы администрирования Многократные обращения к wp-login, phpMyAdmin и путям административных консолей.
- UA вредоносных ботов/сканеров User-Agent атакующих инструментов, таких как sqlmap, nikto и masscan.
- Прочие подозрительные запросы Оставшиеся запросы is_suspicious, не подходящие под перечисленные выше шаблоны.
Аномалия по ML
Обнаружение аномалий машинным обучением — автокодировщик без учителя ловит отклонение от выученной нормы.
- Аномалия автокодировщика Kitsune Ансамбль автокодировщиков без учителя помечает аномальные IP по ошибке восстановления относительно нормы.
Эвристическое сканирование
Эвристики на основе правил — сканеры, подбор паролей, боты и аномалии частоты, блокируемые явными правилами.
- Эвристическое обнаружение srct Срабатывания правил: разведывательный сканер, подбор пароля к админке, UA бота, поток ошибок 4xx, разнообразие JA3 и короткое TCP-сканирование.
Отпечаток JA3
Анализ отпечатка TLS-клиента (JA3) — смена отпечатков, ботнеты и обнаружение автоматизации.
- Смена JA3 / ботнет Один источник меняет множество отпечатков JA3 в своих TLS-соединениях.
Отслеживайте эти версии на своих серверах
InfraGuard собирает версии установленного ПО со всех серверов и отмечает версии с известными уязвимостями. Self-hosted — данные не покидают вашу сеть.