當攻擊者知道我們的IP地址范圍后，可以很方便地在此范圍種發送IP數據報進行尋址。這些數據報能夠做各種不正當地事情。例如用ping搜索和端口掃描形成我們的網絡圖；用惡意分裝使易受攻擊的主機崩潰；用紛至沓來的ICMP分組洪范服務器，并且通過在分組種帶有惡意軟件感染主機。
對于上述惡意分組攻擊的兩種流行的防御措施是防火墻和入侵檢測系統。我們這里簡單介紹一下這兩種方法。

1、防火墻

我們可以嘗試在自己的網絡和因特網之間安裝一臺防火墻。如今大多數接入路由器都具有防火墻能力。防火墻檢查數據報和報文段首部字段，拒絕可疑的數據報進入內部網絡。例如，一臺防火墻可以被配置為阻擋所有的ICMP回顯請求分組，從而防止了攻擊者橫跨我們的IP地址范圍進行傳統的ping搜索。防火墻也能基于源和目的IP地址和端口號阻擋分組。此外，防火墻能夠配置為跟蹤TCP連接，僅許可屬于批準連接的數據報接入。

2、入侵檢測系統（IDS）

IDS能夠提供另一種保護措施。IDS通常位于網絡的邊界，執行“深度分組檢查”，不僅檢查數據報（包括應用層數據）中的首部字段，而且檢查其有效載荷。IDS具有一個分組特征數據庫，這些特征是已知攻擊的一部分。隨著新攻擊的發現，該數據庫自動更新特征。當分組通過IDS時，IDS試圖將分組的首部字段和有效載荷與其特征數據庫中的特征相匹配。如果發現了這樣的一種匹配，就產生一個告警。入侵防止系統（IPS）與IDS類似，只是除了產生告警外還實際阻擋分組。
防火墻的IDS不能夠全面保護我們的網絡不受攻擊，因為攻擊者繼續尋找特征還不能匹配的新攻擊方法。但是防火墻和傳統的基于特征的IDS在保護我們的網絡不受已知攻擊入侵方面是有用的。

總結

以上是生活随笔為你收集整理的检查数据报：防火墙和入侵检测系统的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。