# Detecting Network Scanning With Ids Signatures > 使用 Suricata 和 Snort IDS 签名、基于阈值的检测规则和流量异常分析，检测网络侦察和端口扫描，识别 Nmap、Masscan 及自定义扫描活动。 - Skill: `killvxk/detecting-network-scanning-with-ids-signatures` (Agent Skill, multi-file: 4 files) - Install (CLI): `npx skillmds@latest add killvxk/detecting-network-scanning-with-ids-signatures` - Raw SKILL.md: https://api.skillmd.com/api/skills/killvxk/detecting-network-scanning-with-ids-signatures/raw - Safety review: pending - Works with: Claude Code, Claude.ai, OpenAI Codex - Category: Coding & Dev Tools - License: Apache-2.0 - Author: killvxk (https://skillmd.com/u/killvxk) - Updated: 2026-09-17 - Page: https://skillmd.com/skills/killvxk/detecting-network-scanning-with-ids-signatures --- # 使用 IDS 签名检测网络扫描 ## 概述 网络扫描（network scanning）通常是攻击的第一阶段，攻击者使用 Nmap、Masscan、ZMap 和自定义扫描工具枚举活跃主机、开放端口、运行中的服务和操作系统版本。检测这种侦察活动可以为潜在攻击提供早期预警。Suricata 和 Snort 等 IDS/IPS 系统可通过三种方式识别扫描：基于签名的检测（匹配已知扫描工具的数据包模式）、基于阈值的检测（统计一段时间内的连接尝试次数）和异常检测（识别异常流量模式）。本技能涵盖编写和部署用于扫描检测的 IDS 签名、配置基于阈值的告警，以及将扫描活动与下游攻击指标进行关联。 ## 前置条件 - 以 IDS/IPS 模式部署 Suricata 7.0+ 或 Snort 3.0+ - 用于流量可见性的网络 TAP 或 SPAN 端口 - 启用 Emerging Threats 规则集 - 用于告警分析的日志基础设施（ELK Stack、Splunk） - 了解正常网络流量模式的基线知识 ## 核心概念 ### 扫描技术与检测指标 | 扫描类型 | Nmap 参数 | 数据包特征 | 检测方法 | |-----------|-----------|----------------------|------------------| | **TCP SYN** | `-sS` | 仅 SYN 标志，不完成握手 | 无 SYN/ACK 响应的 SYN 模式 | | **TCP Connect** | `-sT` | 完整三次握手 | 来自单一来源的多个连接 | | **TCP FIN** | `-sF` | 仅 FIN 标志 | FIN 发到关闭端口（RST 响应） | | **TCP Xmas** | `-sX` | FIN+PSH+URG 标志 | 异常标志组合 | | **TCP NULL** | `-sN` | 无标志位 | 零标志 TCP 数据包 | | **UDP Scan** | `-sU` | UDP 发到多个端口 | ICMP 端口不可达响应 | | **ACK Scan** | `-sA` | 仅 ACK 标志（探测防火墙） | 未经请求的 ACK 数据包 | | **SYN/ACK Scan** | 自定义 | 没有先前 SYN 的 SYN+ACK | 状态违规 | | **OS 指纹识别** | `-O` | 异常 TCP 选项/窗口大小 | 特定选项组合 | | **版本检测** | `-sV` | 服务探测字符串 | 已知探测载荷 | ### Nmap 时序模板 | 模板 | Nmap 参数 | 速度 | 检测难度 | |----------|-----------|-------|---------------------| | Paranoid | `-T0` | 每 5 分钟 1 个探测 | 极难 | | Sneaky | `-T1` | 每 15 秒 1 个探测 | 困难 | | Polite | `-T2` | 每 0.4 秒 1 个探测 | 中等 | | Normal | `-T3` | 默认并行度 | 容易 | | Aggressive | `-T4` | 并行，1.25 秒超时 | 很容易 | | Insane | `-T5` | 最大并行度 | 极易 | ## 实施步骤 ### 步骤 1：部署 Suricata 扫描检测规则 创建 `/var/lib/suricata/rules/scan-detection.rules`： ``` # === TCP 扫描检测 === # 检测 TCP SYN 扫描（大量 SYN 但未完成） alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"SCAN TCP SYN Scan Detected"; flags:S,12; threshold:type both,track by_src,count 30,seconds 10; classtype:attempted-recon; sid:5000001; rev:2;) # 检测 TCP FIN 扫描 alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"SCAN TCP FIN Scan"; flags:F,12; threshold:type both,track by_src,count 20,seconds 60; classtype:attempted-recon; sid:5000002; rev:1;) # 检测 TCP Xmas 扫描（FIN+PSH+URG） alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"SCAN TCP Xmas Tree Scan"; flags:FPU,12; classtype:attempted-recon; sid:5000003; rev:1;) # 检测 TCP NULL 扫描（无标志） alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"SCAN TCP NULL Scan"; flags:0,12; classtype:attempted-recon; sid:5000004; rev:1;) # 检测 ACK 扫描（探测防火墙） alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"SCAN TCP ACK Scan"; flags:A,12; flow:stateless; threshold:type both,track by_src,count 50,seconds 30; classtype:attempted-recon; sid:5000005; rev:1;) # 检测 SYN+ACK 扫描（异常无状态探测） alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"SCAN TCP SYN-ACK Scan"; flags:SA,12; flow:stateless; threshold:type both,track by_src,count 30,seconds 30; classtype:attempted-recon; sid:5000006; rev:1;) # === UDP 扫描检测 === # 检测 UDP 端口扫描 alert udp $EXTERNAL_NET any -> $HOME_NET any (msg:"SCAN UDP Port Scan"; threshold:type both,track by_src,count 30,seconds 10; classtype:attempted-recon; sid:5000010; rev:1;) # === Nmap 专项检测 === # 检测 Nmap 操作系统指纹识别（T1 探测——ECN SYN） alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"SCAN Nmap OS Fingerprint Probe"; flags:SEC,12; window:1; classtype:attempted-recon; sid:5000020; rev:1;) # 检测 Nmap 窗口扫描（特定窗口大小模式） alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"SCAN Nmap Window Size Probe"; flags:A,12; flow:stateless; window:1024; threshold:type both,track by_src,count 10,seconds 30; classtype:attempted-recon; sid:5000021; rev:1;) # 检测 Nmap 版本检测探测 alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"SCAN Nmap Service Version Probe"; flow:established; content:"HELP"; depth:4; threshold:type both,track by_src,count 5,seconds 60; classtype:attempted-recon; sid:5000022; rev:1;) # 检测 Nmap 脚本引擎（NSE） alert http $EXTERNAL_NET any -> $HOME_NET any (msg:"SCAN Nmap NSE HTTP Script"; http.user_agent; content:"Nmap Scripting Engine"; classtype:attempted-recon; sid:5000023; rev:1;) # === Masscan 检测 === # 检测 Masscan SYN 扫描（特定窗口大小） alert tcp $EXTERNAL_NET any -> $HOME_NET any (msg:"SCAN Masscan SYN Scan Detected"; flags:S,12; window:1024; threshold:type both,track by_src,count 100,seconds 10; classtype:attempted-recon; sid:5000030; rev:1;) # === 内部扫描检测 === # 检测内部主机扫描（横向移动侦察） alert tcp $HOME_NET any -> $HOME_NET any (msg:"SCAN Internal Network Scan Detected"; flags:S,12; threshold:type both,track by_src,count 50,seconds 30; classtype:attempted-recon; sid:5000040; rev:1;) # 检测内部 ICMP 扫描 alert icmp $HOME_NET any -> $HOME_NET any (msg:"SCAN Internal ICMP Sweep"; itype:8; threshold:type both,track by_src,count 30,seconds 10; classtype:attempted-recon; sid:5000041; rev:1;) ``` ### 步骤 2：配置基于阈值的检测 编辑 `/etc/suricata/threshold.config`： ``` # 对已授权的漏洞扫描器抑制扫描告警 suppress gen_id 1, sig_id 5000001, track by_src, ip 10.0.5.100 suppress gen_id 1, sig_id 5000001, track by_src, ip 10.0.5.101 # 限制扫描告警速率，防止日志洪泛 rate_filter gen_id 1, sig_id 5000001, track by_src, count 5, seconds 300, new_action alert, timeout 600 rate_filter gen_id 1, sig_id 5000040, track by_src, count 3, seconds 300, new_action alert, timeout 600 # 关键内部扫描的事件过滤 event_filter gen_id 1, sig_id 5000040, type both, track by_src, count 1, seconds 60 ``` ### 步骤 3：扫描检测分析脚本 ```python #!/usr/bin/env python3 """分析 IDS 告警中的网络扫描活动并生成报告。""" import json import sys from collections import defaultdict from datetime import datetime class ScanDetector: """关联 IDS 告警以识别扫描活动。""" def __init__(self): self.scan_events = defaultdict(lambda: { 'source_ip': '', 'target_ips': set(), 'target_ports': set(), 'scan_types': set(), 'alert_count': 0, 'first_seen': None, 'last_seen': None, 'signatures': defaultdict(int), }) def process_eve_json(self, filepath: str): """处理 Suricata EVE JSON 告警日志。""" with open(filepath, 'r') as f: for line in f: try: event = json.loads(line) if event.get('event_type') != 'alert': continue alert = event.get('alert', {}) sig = alert.get('signature', '') if 'SCAN' not in sig: continue src_ip = event.get('src_ip', '') dst_ip = event.get('dest_ip', '') dst_port = event.get('dest_port', 0) ts = datetime.fromisoformat( event['timestamp'].replace('Z', '+00:00') ) scanner = self.scan_events[src_ip] scanner['source_ip'] = src_ip scanner['target_ips'].add(dst_ip) scanner['target_ports'].add(dst_port) scanner['alert_count'] += 1 scanner['signatures'][sig] += 1 if 'SYN' in sig: scanner['scan_types'].add('SYN 扫描') elif 'FIN' in sig: scanner['scan_types'].add('FIN 扫描') elif 'Xmas' in sig: scanner['scan_types'].add('Xmas 扫描') elif 'NULL' in sig: scanner['scan_types'].add('NULL 扫描') elif 'UDP' in sig: scanner['scan_types'].add('UDP 扫描') elif 'Nmap' in sig: scanner['scan_types'].add('检测到 Nmap') elif 'Masscan' in sig: scanner['scan_types'].add('检测到 Masscan') elif 'Internal' in sig: scanner['scan_types'].add('内部扫描') if scanner['first_seen'] is None or ts < scanner['first_seen']: scanner['first_seen'] = ts if scanner['last_seen'] is None or ts > scanner['last_seen']: scanner['last_seen'] = ts except (json.JSONDecodeError, KeyError, ValueError): continue def generate_report(self): """生成扫描检测报告。""" scanners = sorted( self.scan_events.values(), key=lambda x: x['alert_count'], reverse=True ) print(f"\n{'='*70}") print("网络扫描检测报告") print(f"{'='*70}") print(f"唯一扫描来源：{len(scanners)}\n") for scanner in scanners: targets = len(scanner['target_ips']) ports = len(scanner['target_ports']) duration = (scanner['last_seen'] - scanner['first_seen']).total_seconds() \ if scanner['first_seen'] and scanner['last_seen'] else 0 is_internal = scanner['source_ip'].startswith(('10.', '172.', '192.168.')) severity = "严重" if is_internal else \ "高" if targets > 50 or ports > 100 else "中" print(f"[{severity}] 扫描源：{scanner['source_ip']}") print(f" 类型：{'内部' if is_internal else '外部'}") print(f" 扫描类型：{', '.join(scanner['scan_types'])}") print(f" 目标主机数：{targets}，目标端口数：{ports}") print(f" 告警总数：{scanner['alert_count']}") print(f" 持续时间：{duration:.0f} 秒") print(f" 首次发现：{scanner['first_seen']}") print(f" 主要签名：") for sig, count in sorted( scanner['signatures'].items(), key=lambda x: x[1], reverse=True )[:5]: print(f" - {sig}：{count}") print() if __name__ == '__main__': detector = ScanDetector() log_file = sys.argv[1] if len(sys.argv) > 1 else '/var/log/suricata/eve.json' detector.process_eve_json(log_file) detector.generate_report() ``` ## 响应剧本 1. **分类（Triage）**——确定扫描是否来自已授权的扫描器或未知来源 2. **信息丰富（Enrich）**——在威胁情报 feeds 中查询源 IP 3. **评估范围**——统计唯一目标和端口数量，评估扫描广度 4. **封锁**——将激进的外部扫描器添加到防火墙封锁列表 5. **调查内部**——内部扫描可能表明主机被入侵；隔离并调查 6. **关联**——检查扫描后是否发生了利用尝试 ## 最佳实践 - **将授权扫描器加白名单**——对已知漏洞扫描器 IP 抑制告警 - **重点关注内部扫描**——内部扫描比外部扫描严重性更高（表明已被入侵） - **阈值调整**——根据环境调整阈值；/16 网络的扫描噪声更多 - **与其他告警关联**——将扫描检测与利用告警结合，获得杀伤链可见性 - **基于时间的分析**——非常规时间（凌晨 3 点）的扫描需优先处理 - **限制告警速率**——防止扫描洪泛使 SIEM 充斥噪声 ## 参考资料 - Suricata 规则文档 - Nmap IDS 规避技术 - OPNsense Suricata Nmap 检测规则 - Emerging Threats 规则集