常见的攻击模式枚举和分类

敌人使用TCP SYN包作为一种手段对主机的发现。典型的RFC 793行为指定当TCP端口开放,主机必须响应传入SYN“同步”数据包通过完成第二阶段的“三方握手”——通过发送SYN / ACK的反应。当一个端口是关闭,RFC 793行为与RST回应“重置”包。这种行为可以用来“ping”目标是否活着通过发送一个TCP SYN包一个港口,然后寻找一个RST或一个ACK数据包响应。

由于不同的反应从打开和关闭端口,SYN包可用于确定远程端口的状态。TCP SYN萍也有助于发现活着主机通过一个有状态的防火墙保护。在这种情况下,一个特定的防火墙规则不屏蔽一个港口,一个SYN包可以通过防火墙的主机和请求响应开放或关闭端口。当一个有状态的防火墙,SYN ping比ACK ping,因为一个有状态的防火墙通常会放弃所有不请自来的ACK包,因为他们不属于现有的或新的连接。TCP SYN ping经常失败当一个无状态的ACL或防火墙配置为港口blanket-filter传入的数据包。防火墙设备将丢弃任何SYN包阻塞端口。通常,敌人会轮流SYN和ACK ping发现如果一个主机是活的。

此表显示了其他的攻击模式和高水平类别相关的这种攻击模式。这些关系被定义为ChildOf ParentOf,给类似的项目可能存在的洞察力在较高和较低的抽象级别。此外,关系如光束,PeerOf, CanAlsoBe定义显示类似的攻击模式,用户可能想要探索。 此表显示了这种攻击模式的观点属于和顶级类别内的这一观点。