Dos {denial of service attacks }

1. Dos拒絕服務攻擊的定義：
   「拒絕服務攻擊」是一種針對網絡或伺服器的攻擊手法，其主要特點是通過大量的網絡流量來「淹沒floods」目標。這意味著攻擊者會故意向伺服器或網絡設備發送大量overloading無效的請求，導致其無法處理正常的請求。

2.攻擊目的：
這類攻擊的主要目的是「干擾正常的業務運作」。當網絡設備被過多的虛假請求淹沒後，它將無法合理地回應正當用戶的請求，進而導致業務運行的中斷。

3.影響企業的正常運作：
當組織無法進行正常的商業操作時，會帶來「金錢和時間上的損失」。這意味著經濟損失可能來自客戶無法訪問服務或產品，從而影響收入及商譽。

4.引發的後續安全隱患：
除了經濟損失，系統崩潰後，企業還會面臨「其他安全威脅和攻擊的脆弱性」。這表示，在遭受拒絕服務攻擊後，系統可能更容易受到其他類型的攻擊（例如數據洩露或惡意軟件攻擊），從而增加了安全風險。

DDoS {distributed denial of service attack}

分散式拒絕服務攻擊（DDoS）：這種攻擊方式不僅依賴單一來源，還使用多個設備multiple devices or servers in different locations 來增強攻擊的效果。這樣的配置增加了流量超過目標伺服器處理能力的概率，進而達到攻擊目的。

three common network level DoS attacks

1. SYN flood attack.
2. ICMP stands for Internet Control Message Protocol
3. Ping of Death

Read tcpdump logs

• A network protocol analyzer網路協議分析儀，有時稱為packet sniffer 資料包嗅探器或資料包分析器packet analyzer，是一種設計用來捕獲和分析網路內數據流量 data traffic的工具。
• 它們通常被用作調查工具，以監控網路並識別可疑活動。
• 市面上有各種各樣的網路協議分析儀，但一些最常見的分析儀包括：

  • SolarWinds NetFlow 流量分析儀

  • ManageEngine OpManager

  • Azure 網路監控者

  • Wireshark

  • tcpdump

tcpdump

tcpdump 是一款命令行網路協議分析器，使用開源的libpcap函式庫，輕量化且低CPU使用率。它可在各種Unix系統上安裝，包括macOS，許多Linux發行版上預先安裝。tcpdump提供簡單的封包分析，將網路流量的關鍵資訊轉換為易於閱讀的格式，並將每個封包的信息直接顯示在終端上，包括來源IP地址、目的IP地址和使用的端口號。
tcpdump 輸出的內容：當執行命令時，tcpdump 將抓取到的數據包輸出至命令列，並可以選擇性地存儲到日誌文件中。這些數據包的輸出包含了許多關於網絡流量的重要資訊。
重要資訊

1. 時間戳 (Timestamp)：每個捕獲到的數據包會以時間戳開頭，格式為小時、分鐘、秒數及其微秒。這對於分析流量的時間模式和事件發生的順序至關重要。

2.源 IP (Source IP)：數據包的來源將顯示其源 IP 地址。這有助於識別數據的來源設備或伺服器。

3. 源埠 (Source port)：這是數據包發送時所用的埠號，通常表示發送方的應用程序或服務。

4.目的 IP (Destination IP)：顯示數據包傳送的目標 IP 地址，幫助確定數據包要送到哪裡。

5.目的埠 (Destination port)：與目的 IP 相對，這是接收數據包的服務所用的埠號。

tcpdump 及其他網路協議分析工具常見用途

捕獲和查看網路通信：

tcpdump 及類似的工具可以持續監控網路上的數據傳輸。透過捕獲數據包，使用者能夠實時查看傳輸的資料，這對於理解網路的運作非常重要。

收集網路統計資訊：

這些工具可用於收集關於網路性能的統計數據，這包括請求的頻率、響應時間等，幫助網路管理員尋找可能的性能問題，並進行必要的調整。

建立網路交通模式和利用指標的基線：Establish a baseline for network traffic patterns and network utilization metrics.

分析正常情況下的網路流量模式，可以幫助使用者識別出不尋常的活動，這對於安全監控來說至關重要。建立基線後，任何偏離正常範圍的情況都會引起注意。

檢測和識別惡意流量：Detect and identify malicious traffic

使用 tcpdump 等工具可以有效識別出網路中的異常行為，比如病毒、木馬等惡意軟體的活動模式，或遭受攻擊的跡象，有助於提高網路安全。

創建自訂警報：Create customized alerts to send the right notifications when network issues or security threats arise.

使用者可以根據需要設置自動警報，以便在出現網路問題或安全威脅時，可以立即收到通知，這樣能夠迅速反應，有助於問題的及時解決。

定位未經授權的即時消息(IM)流量或無線接入點：

tcpdump 也能協助識別那些未經授權的即時通訊流量或不安全的無線接入點，這對維持網路安全極為重要，預防數據洩露。