在思科交换机上防范典型的欺骗和二层攻击

《在思科交换机上防范典型的欺骗和二层攻击》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、在思科交换机上防范典型的欺骗和二层攻击BYErebus1.MAC/CAM攻击的防范1.1MAC/CAM攻击的原理和危害1.2典型的病毒利用MAC/CAM攻击案例1.3使用PortSecurityfeature防范MAC/CAM攻击1.4配置1.5使用其它技术防范WC/CAM攻击2.DHCP攻击的防范2.1采用DHCP管理的常见问题：2.2DHCPSnooping技术概况2.3基本防范2.4高级防范3.ARP欺骗/MITM(Man-Tn-The-Nfiddle)攻击原理和防范3.1MITM(Man-In-The-Middle)攻击原理

2、3.2攻击实例3.3防范方法3.4配置示例3.5配置DAI后的效果：4.IP/MAC欺骗的防范4.1常见的欺骗攻击的种类和冃的4.2攻击实例4.3IP/MAC欺骗的防范4.4配置示例：5.IP地址管理和病毒防范的新思路5.IIP地址管理5.2使用DHCPSnooping、DAI、IPSourceGuard技术能解决的有关病毒问题本文所提到的攻击和欺骗行为主耍针对链路层和网络层。在网络实际环境屮，其来源可概括为两个途径：人为实施；病毒或蠕虫。人为实施通常是指使用一些黑客的工具对网络进行扫描和嗅探，获取管理帐户和相关密码，在网络卜-屮安插

3、木马，从而进行进一步窃取机密文件。攻击和欺骗过程往往比较隐蔽和安静，但対于信息安全要求高的企业危害是极大的。而来自木马或者病毒及蠕虫的攻击和往往会偏离攻击和欺骗本身的目的，现象有时菲常直接，会带来网络流量加大、设备CPU利用率过高、二层牛成树坏路直至网络瘫痪。冃前这类攻击和欺骗工具已经非常成熟和易用，而冃前企业在部署这方血的防范还存在很多不足，有很多工作要做。思科针对这类攻击已有较为成熟的解决方案，主要基于下面的几个关键的技术：•PortSecurityfeature•DHCPSnooping•DynamicARPInspection

4、(DAI)•IPSourceGuard下而部分主要针对冃前罪常典型的二层攻击和欺骗说明如何在思科交换机上组合运用和部署上述技术，从而实现防止在交换环境中实施“中间人〃攻击、MAC/CAM攻击、DHCP攻击、地址欺上［③芸［史画01］oi>>X3McrtccxKSfeewdCO0ODF93A080EM•ctJKrcr:P>>®MC3C•CCSM304FD»)9C2»Co«>X2Oiccit>»tM：0CC7oocwsg；•WdQoetcccoorcP»>X4X：CI<>C€CCQO<•cyyot»CTr4o23c-■m>>

5、^>3X43-0C7COMZW骗等，更只意义的是通过上面技术的部署町以简化地址管理，直接跟踪川户IP和对应的交换机端口；防止1P地址冲突。同时对于人多数对二层网络造成很人危害的具有地址扫描、欺骗等特征的病毒可以有效的报警和隔离。1MAC/CAM攻击的防范1.HUC/CAM攻击的原理和危害交换机被动学习客户端的MAC地址，并建立和维护端口和MAC地址的对应表以此建立交换路径，这个表就是通常我们所说的CAM表。CAM表的人小是固定的，不同的交换机的CAM表大小不同。MAC/CAM攻击是指利用工具产生欺骗MAC，快速填满CAM表，交换机CA

6、M表被填满后，交换机以广播方式处理通过交换机的报文，这时攻击者叮以利用各种嗅探攻击获取网络信息。CAM表满了后，流量以洪泛方式发送到所有接口，也就代表TRUNK接口上的流量也会发给所有接口和邻接交换机，会造成交换机负载过大，网络缓慢和丢包英至瘫痪。1.2典型的病毒利JIJMAC/CAM攻击案例曾经对网络照成非常大威胁的SQL蠕虫病毒就利用组播冃标地址，构造假冃标MAC來填满交换机CAM表。其特征如下图所示：ISSXXI•!?73T5>r42X^3IXIS■”:>12)01»2时*2$txjirs•r>3IatM132>It)Itl»1

7、・3使用PortSecurityfeature防范MAC/CAM攻击思科PortSecurityfeature可以防止MAC和MAC/CAM攻击。通过配置PortSecurity可以控制：•端口上最人可以通过的MAC地址数量・端口上学习或通过哪些MAC地址・对于超过规定数暈的MAC处理进行违背处理端口上学习或通过哪些MAC地址，可以通过静态手工定义，也可以在交换机自动学习。交换机动态学习端口MAC,直到指定的MAC地址数量，交换机关机后重新学习。目前较新的技术是StickyPortSecurity,交换机将学到的mac地址写到端口配置

8、中，交换机重启后配置仍然存在。对于超过规定数量的MAC处理进行处理一般有三种方式(针对交换机型号会有所不同)：・Shutdown。这种方式保护能力最强，但是对于-一些情况可能会为管理带来麻烦，如某台设备中了病毒，病毒间断