IDS、网络监控，实现原理分析

zang12345

大家好，我是新来的，这里的技术很实在。
我思考了很常的时间，关于网络监控

1。很多网络监控软件，和 IDS，都是 在交换机和路由器之间，中间串接一个HUB，然后，安装网络安全软件的机器连接在这个HUB上，利用HUB的广播的特点，可以捕获所有内部计算机发送到路由器上所有的数据包。

如果网络监控软件想禁止内部某计算机192。168。0。100访问某个站点www.abc.com。HTTP协议使用的是TCP
那么网络监控机器就想中断该计算机与www.abc.com的正常通讯，
应该是这样的
a 监控机器构造一个TCP包，包的序列号也是正确的，IP包，包的目标地址为192。168。0。100，源IP地址为www.abc.com,wef    f d（其实是伪造成www.abc.com发送过来的）发送一个数据包给192。168。100，告诉，连接重置，等这个包发出去后，监控机再伪造一个假的数据包发给www.abc.com，告诉她，她想中断连接，
  于是，监控机再两个机器之间的欺骗，就实现了TCP会话中断。


2。 那UDP协议呢？UDP包怎么封呢？UDP封锁要使用什么手段呢？我目前能想到的是使用ICMP发送“端口不可达”，但是，如果192。168。0。100安装了个人防火墙，屏蔽了ICMP包，怎么办呢？

强烈希望各位能帮我解答，
让我们一起做一个网络IDS吧！！

switchtdh

你是想半开攻击哈！

zerohv

可以用arp欺骗

mars14

你的问题有很多漏洞！
IDS不要配置在路由器和交换机的HUB上，HUB是一个冲撞设备，会影响流量，虽然在这样的情况下只有三个设备在HUB上也不推荐。而是应该连在SWITCH上，在SWITCH做端口镜像，把上联路由的端口镜像到IDS监听接口上就可以了。
你说的那个RST包方式中断会话是只能在TCP上实现的。众所周知UDP是单向协议，所以只要在网关设备上对对应的IP进行封锁才能起到作用。就是要IDS和路由器或者防火墙联动，IDS能指挥这些设备在必要的时候封锁IP。

联动通过共有接口或者接口协商实现。