| |
電信級IP技術(shù)的發(fā)展成熟使得話音、數(shù)據(jù)、視頻和移動等應(yīng)用的融合成為必然，統(tǒng)一通訊已成為發(fā)展的趨勢。以IP技術(shù)為核心進行網(wǎng)絡(luò)改造并承載多種新型業(yè)務(wù)以提升競爭力，是固網(wǎng)運營商的發(fā)展方向。而以太網(wǎng)技術(shù)由于標準化程度高、應(yīng)用廣泛、帶寬提供能力強、擴展性良好、技術(shù)成熟，設(shè)備性價比高，對IP的良好支持，成為城域網(wǎng)和接入網(wǎng)的發(fā)展趨勢。但是，由于以太網(wǎng)技術(shù)的開放性和其應(yīng)用廣泛，也帶來了一些安全上的問題。特別是當網(wǎng)絡(luò)由原有的單業(yè)務(wù)承載轉(zhuǎn)為多業(yè)務(wù)承載時，安全問題帶來的影響愈發(fā)明顯，已經(jīng)逐步影響到業(yè)務(wù)的開展和部署。
目前接入網(wǎng)常見的攻擊包括ARP“中間人“攻擊、IP/MAC欺騙攻擊、DHCP/ARP報文泛洪攻擊等。
網(wǎng)絡(luò)攻擊
ARP“中間人”攻擊
按照ARP協(xié)議的設(shè)計，一個主機即使收到的ARP應(yīng)答并非自身請求得到的，也會將其IP地址和MAC地址的對應(yīng)關(guān)系添加到自身的ARP映射表中。這樣可以減少網(wǎng)絡(luò)上過多的ARP數(shù)據(jù)通信，但也為“ARP欺騙”創(chuàng)造了條件。
如下圖示，Host A和Host C通過Switch進行通信。此時，如果有黑客(Host B)想探聽Host A和Host C之間的通信，它可以分別給這兩臺主機發(fā)送偽造的ARP應(yīng)答報文，使Host A和Host C用MAC_B更新自身ARP映射表中與對方IP地址相應(yīng)的表項。此后，Host A 和Host C之間看似“直接”的通信，實際上都是通過黑客所在的主機間接進行的，即Host B擔當了“中間人”的角色，可以對信息進行了竊取和篡改。這種攻擊方式就稱作“中間人(Man-In-The-Middle)攻擊”。
IP/MAC欺騙攻擊常見的欺騙種類有MAC欺騙、IP欺騙、IP/MAC欺騙，黑客可以偽造報文的源地址進行攻擊，其目的一般為偽造身份或者獲取針對IP/MAC的特權(quán)，另外此方法也被應(yīng)用于DoS( Deny of Service，拒絕服務(wù))攻擊，嚴重的危害了網(wǎng)絡(luò)安全。
為了防止IP/MAC欺騙攻擊，H3C低端以太網(wǎng)交換機提供了IP過濾特性，開啟該功能后，交換機可以強制經(jīng)過某一端口流量的源地址符合動態(tài)獲取的DHCP Snooping表項或靜態(tài)配置的IP與MAC綁定表項的記錄，防止攻擊者通過偽造源地址來實施攻擊。此外，該功能也可以防止用戶隨便指定IP地址，造成的網(wǎng)絡(luò)地址沖突等現(xiàn)象。
DHCP報文泛洪攻擊
DHCP報文泛洪攻擊是指：惡意用戶利用工具偽造大量DHCP報文發(fā)送到服務(wù)器，一方面惡意耗盡了IP資源，使得合法用戶無法獲得IP資源;另一方面,如果交換機上開啟了DHCP Snooping功能，會將接收到的DHCP報文上送到CPU。因此大量的DHCP報文攻擊設(shè)備會使DHCP服務(wù)器高負荷運行，甚至會導(dǎo)致設(shè)備癱瘓。
ARP報文泛洪攻擊ARP報文泛洪類似DHCP泛洪，同樣是惡意用戶發(fā)出大量的ARP報文，造成L3設(shè)備的ARP表項溢出，影響正常用戶的轉(zhuǎn)發(fā)。
安全防范
對于上述的幾種攻擊手段，H3C接入網(wǎng)解決方案在用戶接入側(cè)利用DHCP SNOOPING，提供相應(yīng)的防范手段。
DHCP Snooping表項的建立
開啟DHCP Snooping功能后，H3C接入交換機根據(jù)設(shè)備的不同特點可以分別采取監(jiān)聽DHCP-REQUEST廣播報文和DHCP-ACK單播報文的方法來記錄用戶獲取的IP地址等信息。目前，交換機的DHCP Snooping表項主要記錄的信息包括：分配給客戶端的IP地址、客戶端的MAC地址、VLAN信息、端口信息、租約信息。
|
| 【收藏】【打印】【進入論壇】 |
|
|
|
|
| |
|
|
|
