您所在的位置:首頁 >> 電腦安全 >> 安全技術 >>
文字大小:

寬帶接入網常見的攻擊及防范

/ 2010-09-20 網界網

電信級IP技術的發展成熟使得話音、數據、視頻和移動等應用的融合成為必然,統一通訊已成為發展的趨勢。以IP技術為核心進行網絡改造并承載多種新型業務以提升競爭力,是固網運營商的發展方向。而以太網技術由于標準化程度高、應用廣泛、帶寬提供能力強、擴展性良好、技術成熟,設備性價比高,對IP的良好支持,成為城域網和接入網的發展趨勢。但是,由于以太網技術的開放性和其應用廣泛,也帶來了一些安全上的問題。特別是當網絡由原有的單業務承載轉為多業務承載時,安全問題帶來的影響愈發明顯,已經逐步影響到業務的開展和部署。 目前接入網常見的攻擊包括ARP“中間人“攻擊、IP/MAC欺騙攻擊、DHCP/ARP報文泛洪攻擊等。

網絡攻擊

ARP“中間人”攻擊

按照ARP協議的設計,一個主機即使收到的ARP應答并非自身請求得到的,也會將其IP地址和MAC地址的對應關系添加到自身的ARP映射表中。這樣可以減少網絡上過多的ARP數據通信,但也為“ARP欺騙”創造了條件。

如下圖示,Host A和Host C通過Switch進行通信。此時,如果有黑客(Host B)想探聽Host A和Host C之間的通信,它可以分別給這兩臺主機發送偽造的ARP應答報文,使Host A和Host C用MAC_B更新自身ARP映射表中與對方IP地址相應的表項。此后,Host A 和Host C之間看似“直接”的通信,實際上都是通過黑客所在的主機間接進行的,即Host B擔當了“中間人”的角色,可以對信息進行了竊取和篡改。這種攻擊方式就稱作“中間人(Man-In-The-Middle)攻擊”。

IP/MAC欺騙攻擊

常見的欺騙種類有MAC欺騙、IP欺騙、IP/MAC欺騙,黑客可以偽造報文的源地址進行攻擊,其目的一般為偽造身份或者獲取針對IP/MAC的特權,另外此方法也被應用于DoS( Deny of Service,拒絕服務)攻擊,嚴重的危害了網絡安全。

為了防止IP/MAC欺騙攻擊,H3C低端以太網交換機提供了IP過濾特性,開啟該功能后,交換機可以強制經過某一端口流量的源地址符合動態獲取的DHCP Snooping表項或靜態配置的IP與MAC綁定表項的記錄,防止攻擊者通過偽造源地址來實施攻擊。此外,該功能也可以防止用戶隨便指定IP地址,造成的網絡地址沖突等現象。

DHCP報文泛洪攻擊

DHCP報文泛洪攻擊是指:惡意用戶利用工具偽造大量DHCP報文發送到服務器,一方面惡意耗盡了IP資源,使得合法用戶無法獲得IP資源;另一方面,如果交換機上開啟了DHCP Snooping功能,會將接收到的DHCP報文上送到CPU。因此大量的DHCP報文攻擊設備會使DHCP服務器高負荷運行,甚至會導致設備癱瘓。

ARP報文泛洪攻擊

ARP報文泛洪類似DHCP泛洪,同樣是惡意用戶發出大量的ARP報文,造成L3設備的ARP表項溢出,影響正常用戶的轉發。

安全防范

對于上述的幾種攻擊手段,H3C接入網解決方案在用戶接入側利用DHCP SNOOPING,提供相應的防范手段。

DHCP Snooping表項的建立

開啟DHCP Snooping功能后,H3C接入交換機根據設備的不同特點可以分別采取監聽DHCP-REQUEST廣播報文和DHCP-ACK單播報文的方法來記錄用戶獲取的IP地址等信息。目前,交換機的DHCP Snooping表項主要記錄的信息包括:分配給客戶端的IP地址、客戶端的MAC地址、VLAN信息、端口信息、租約信息。

電信級IP技術的發展成熟使得話音、數據、視頻和移動等應用的融合成為必然,統一通訊已成為發展的趨勢。以IP技術為核心進行網絡改造并承載多種新型業務以提升競爭力,是固網運營商的發展方向。而以太網技術由于標準化程度高、應用廣泛、帶寬提供能力強、擴展性良好、技術成熟,設備性價比高,對IP的良好支持,成為城域網和接入網的發展趨勢。但是,由于以太網技術的開放性和其應用廣泛,也帶來了一些安全上的問題。特別是當網絡由原有的單業務承載轉為多業務承載時,安全問題帶來的影響愈發明顯,已經逐步影響到業務的開展和部署。

目前接入網常見的攻擊包括ARP“中間人“攻擊、IP/MAC欺騙攻擊、DHCP/ARP報文泛洪攻擊等。

文本Tag: 寬帶接入 網絡攻擊
【重要聲明】:電腦無憂網刊載此文僅為提供更多信息目的,并不代表電腦無憂網同意文章的說法或描述,也不構成任何建議,對本文有任何異議,請聯系我們。
熱點內容
推薦內容
相關內容
?
南粤26选5走势图