Black Hat USA 2002 - An Introduction to Gateway Intrusion Detection Systems

Jed Hail 是 Nitro Data Systems 首席安全架構師，其日常工作是為大型安全資訊資料庫建立資料管理解決方案。在本演講中，他深入探討網關入侵偵測系統（GIDS）——一種充當網路網關的 IDS，位於網路入口處分析通過的流量。與只能檢查目標位址、連接埠的防火牆相比，網關 IDS 對資料包進行更深入的檢查，判斷其中是否包含惡意內容，若發現則主動丟棄。理想情況下應能阻止任何已知漏洞，且現代偵測系統基本可靠地攔截已知漏洞程式。

Hogwash 是講者開發的開源網關 IDS，基於 Snort 入侵偵測系統。它在橋接防火牆和 IDS 之間找到平衡：像防火牆般轉發或丟棄決策，像 IDS 般檢查封包內容。Hogwash 提供三種處理模式——Drop（丟棄+重置+記錄）、Ignore（靜默丟棄）、Sdrop（丟棄+重置但不記錄），其中 Sdrop 特別適合 Code Red 等大量重複流量的情況，防止日誌被警報淹沒。

由於傳統流重組在網關 IDS 中不可行（無法重新注入新組合的封包），Hogwash 採用「機會性流重組」——僅在偵測到部分匹配時才組合相鄰封包。該演算法使用大型環形緩衝區（預設 65,000 個封包），實踐證明部分匹配極為罕見，快取能保留數天而無需頻繁重新整理。

講者特別強調了端口掃描偵測的重要性。該偵測器基於會話追蹤，記錄每個外部來源的連接資訊；若偵測到 20 個不同連接埠或 5 個不同目標機器的連接，則標記為掃描器並啟動丟棄機制。該設計考慮了偽造 IP 的防禦——攻擊者必須從每個偽造來源分別達到閾值，無法簡單分散攻擊。超時機制（預設 60 秒）意味著攻擊者必須保持活躍，停止後自動解除封鎖。

為蜜網專案開發的內容替換功能是另一大創新。由於封包通過設備，Hogwash 可重寫有效載荷。例如規則可偵測針對 IIS Web 伺服器 80 連接埠的 `cmd.exe` 命令，將其替換為無效字符串。這樣漏洞程式失效但攻擊者看不出防禦跡象——Web 伺服器只是返回「未找到」頁面，難以被偵測為蜜罐。

經過一年開發，講者決定將 Hogwash 功能整合進 Snort 本身，誕生了內聯 Snort。新架構拋棄複雜的橋接程式碼，改用 Linux IPtables 與 netfilter 的 IPQ 機制：IPtables 防火牆接收封包，若決定轉送則傳給用戶空間的 Snort，由 Snort 進行深度檢查後告知是否丟棄或轉送。該設計帶來多重優勢——IPtables 負責防火牆和 NAT 功能，Snort 專注偵測；Snort.org 官方規則資料庫支援內聯模式；開發者群體擴大，更新與維護集中統一；系統管理員只需維護一套 Snort 而非兩個平台。

編譯內聯 Snort 需手動啟用內聯模式選項，並安裝 libipq 與 libnet。核心須編譯進 IPQ 支援（IPtables 選項下）。配置時在 IPtables 輸入鏈加入 `-j QUEUE` 規則，先啟用佇列再啟動 Snort，否則防火牆會丟棄所有封包直到 Snort 上線。執行時使用 `-Q` 參數而非 `-i` 介面參數，Snort 將從 IPQ 接收封包。

現場演示中，講者運行內聯 Snort 並啟用了 12,200 條規則，其中大部分改寫為 drop 規則。當出席者運行 Nessus 掃描器嘗試連接埠掃描時，系統成功偵測並丟棄流量，掃描日誌記錄了所有被攔截的封包。講者指出，若無重置信號的丟棄會導致掃描器重試，甚至耗盡其系統資源——這是額外的防禦層。規則數量越多效能下降越快，實際部署通常採用 2-500 條精心選擇的規則，在千兆網路上可達接近千兆位元的吞吐量。