我有很多关于恶意软件产生的流量的 pcap 文件,其中包括大量的数据包,如 TCP UDP 和更重要的 HTTP。可能我有与 IP 地址相关的地理位置;问题是:有一种方法可以根据服务器响应时间找出该位置是否是假的?
http时间响应与地理位置的关系
信息安全
恶意软件
http
地理位置
2021-09-08 07:49:47
1个回答
以可靠的方式,没有。原因:
- 还有许多其他情况会增加响应时间。例如,如果有虚拟化系统或过载。或者它的网络过载。
- TCP 协议使用窗口方案,这导致您不会得到实际收到的数据包的 ACK,但通常会提前 8 个数据包,这取决于远程系统处理这些数据包的速度。
- 网络的拓扑结构在最高层是类似图的(从国家级路由开始),而在下面是树状的。延迟时间在第一个可能是可靠的,但在此之后开始不可靠。
- 即使它可以工作,您也只能获得与本地化相距甚远的“距离”信息。
但:
- 在发送第一个 TCP 包时,TCP 窗口几乎是空的,所以第一个 ACK 包的延迟实际上是可靠的延迟信息。它本质上可以用作基于 tcp 的 ping。
- 如果您有权访问大型服务器日志,则可以根据网络上每个已注册 IP 网络的典型延迟时间来构建数据库。如果您不仅要存储数据包延迟的平均值,还要存储它们的标准偏差,这将很有用。
- 如果您可以访问世界上广泛偏远的地方和网络上的多台服务器(例如,一个在中欧,另一个在新西兰),您可以为所有这些服务器构建一个这样的时间数据库。
- 这些数据库不仅应该依赖于远程 IP 网络,还应该依赖于一天中的时间和一周中的一天(这些网络负载主要取决于这些)。
之后,基于贝叶斯定理的浮点扩展(可能用一点模糊逻辑进行扩展),您将能够获得 IP 延迟的“可信度因子”。但这在大多数情况下会导致误导性的结果,因为不切实际的延误的原因大多数情况下是在最后一英里,并且仅在相对较小的部分明显伪造。
但是,如果您将这些“行为可疑”的 IP 连接到其他安全日志,它可能会成为有用的“软数据”来源。例如,它可用于提高垃圾邮件过滤器或警报防火墙的敏感度。
它需要大多数大学的第三四学期左右的数学,并且至少需要一名专业和高级程序员。
需要开发的东西:
- 构建这样的数据库及其硬件/软件集成
- 构建网络监控脚本
- 并根据单个 IP 的网络延迟统计构建 IP 本地化脚本。
根据细节,我会说这将是一周到半年的开发时间。
如果你有足够的机器,你甚至可以在地球上几乎所有的网络之间建立一个延迟数据库,甚至可以用来定位它们的真实位置。但这会困难得多。