网络安全:接入网常见的攻击及防范.docx
《网络安全:接入网常见的攻击及防范.docx》由会员分享,可在线阅读,更多相关《网络安全:接入网常见的攻击及防范.docx(3页珍藏版)》请在优知文库上搜索。
1、网络安全:接入网常见的攻击及防范电信级IP技术的发展成熟使得话音、数据、视频和移动等应用的融合成为必然,统一通讯已成为发展的趋势。以IP技术为核心进行网络改造并承载多种新型业务以提升竞争力,是固网运营商的发展方向。而以太网技术由于标准化程度高、应用广泛、带宽提供能力强、扩展性良好、技术成熟,设备性价比高,对IP的良好支持,成为城域网和接入网的发展趋势。但是,由于以太网技术的开放性和其应用广泛,也带来了一些安全上的问题。特别是当网络由原有的单业务承载转为多业务承载时,安全问题带来的影响愈发明显,己经逐步影响到业务的开展和部署。目前接入网常见的攻击包括ARP“中间人攻击、IP/MAC欺骗攻击、DH
2、CP/ARP报文泛洪攻击等。网络攻击ARP“中间人”攻击按照ARP协议的设计,一个主机即使收到的ARP应答并非自身请求得到的,也会将其IP地址和MAC地址的对应关系添加到自身的ARP映射表中。这样可以减少网络上过多的ARP数据通信,但也为“ARP欺骗”创造了条件。如下图示,HoStA和HoStC通过SWitCh进行通信。此时,如果有黑客(HOStB)想探听HostA和HostC之间的通信,它可以分别给这两台主机发送伪造的ARP应答报文,使HostA和HostC用MAC_B更新自身ARP映射表中与对方IP地址相应的表项。此后,HostA和HostC之间看似“直接的通信,实际上都是通过黑客所在的主
3、机间接进行的,即HOStB担当了“中间人的角色,可以对信息进行了窃取和篡改。这种攻击方式就称作“中间人(Man-In-The-Middle)攻击IP/MAC欺骗攻击常见的欺骗种类有MAC欺骗、IP欺骗、IP/MAC欺骗,黑客可以伪造报文的源地址进行攻击,其目的一般为伪造身份或者获取针对IP/MAC的特权,另外此方法也被应用于DoS(DenyofService,拒绝服务)攻击,严重的危害了网络安全。为了防止IP/MAC欺骗攻击,H3C低端以太网交换机提供了IP过滤特性,开启该功能后,交换机可以强制经过某一端口流量的源地址符合动态获取的DHCPSnOOPing表项或静态配置的IP与MAC绑定表项的
4、记录,防止攻击者通过伪造源地址来实施攻击。此外,该功能也可以防止用户随便指定IP地址,造成的网络地址冲突等现象。DHCP报文泛洪攻击DHCP报文泛洪攻击是指:恶意用户利用工具伪造大量DHCP报文发送到服务器,一方面恶意耗尽了IP资源,使得合法用户无法获得IP资源;另一方面,如果交换机上开启了DHCPSnOOPing功能,会将接收到的DHCP报文上送到CPU。因此大量的DHCP报文攻击设备会使DHCP服务器高负荷运行,甚至会导致设备瘫痪。ARP报文泛洪攻击ARP报文泛洪类似DHCP泛洪,同样是恶意用户发出大量的ARP报文,造成L3设备的ARP表项溢出,影响正常用户的转发。安全防范对于上述的几种攻
5、击手段,H3C接入网解决方案在用户接入侧利用DHCPSNOOPING,提供相应的防范手段。DHCPSnooping表项的建立开启DHCPSnOOPing功能后,H3C接入交换机根据设备的不同特点可以分别采取监听Dhcp-REQUEST广播报文和DHCP-ACK单播报文的方法来记录用户获取的IP地址等信息。目前,交换机的DHCPSnOoPing表项主要记录的信息包括:分配给客户端的IP地址、客户端的MAC地址、VLAN信息、端口信息、租约信息。ARP入侵检测功能ARP入侵检测功能工作机制为了防止ARP中间人攻击,接入交换机支持将收到的ARP(请求与回应)报文重定向到CPU,结合DHCPSnOOP
- 配套讲稿:
如PPT文件的首页显示word图标,表示该PPT已包含配套word讲稿。双击word图标可打开word文档。
- 特殊限制:
部分文档作品中含有的国旗、国徽等图片,仅作为作品整体效果示例展示,禁止商用。设计者仅对作品中独创性部分享有著作权。
- 关 键 词:
- 网络安全 接入 常见 攻击 防范