網(wǎng)絡(luò)信息系統(tǒng)的安全設(shè)計方案(編輯修改稿)
2025-06-11 01:36 本頁面
【文章內(nèi)容簡介】 ）病毒可謂是現(xiàn)在最普遍的網(wǎng)絡(luò)危害，一具用戶感染病毒就可能危害到整個網(wǎng)絡(luò)。欺騙類病毒目前可以分為3種類型：中毒機(jī)器不停發(fā)送“我是網(wǎng)關(guān)”的ARP信息，試圖來欺騙其他PC，讓他們將自己看作網(wǎng)關(guān)，如圖中的F0/1口下的PC A可以通過這種類型的ARP病毒讓PC B認(rèn)為網(wǎng)關(guān)是PC A。中毒機(jī)器不停的變換自己的IP，來擾亂網(wǎng)關(guān)設(shè)備的ARP表象，試圖讓網(wǎng)關(guān)看到的所有的IP都是自己，這樣其他用戶的IP就不能被網(wǎng)關(guān)設(shè)備認(rèn)出了，如上圖中，PC A可以不停的變換自己的IP， A，PC B當(dāng)然就不能被網(wǎng)關(guān)識別了。中毒機(jī)器將自己的MAC地址修改成交換機(jī)的下一跳網(wǎng)絡(luò)設(shè)備的MAC地址，試圖讓交換機(jī)的MAC表發(fā)生紊亂，讓交換機(jī)從錯誤的端口發(fā)送出數(shù)據(jù)包，如上圖中，PC A會將自己的MAC地址修改成網(wǎng)關(guān)的MAC地址00E00F2796D0，這樣交換機(jī)在F0/1和F0/24上都學(xué)習(xí)到這個地址，MAC表就亂了這種類型并不能算上ARP病毒，但是同屬于欺騙類病毒。目前大部分廠家都是通過綁定IP、MAC、端口的方式來保證安全，但是這樣的方式實現(xiàn)起來麻煩（要一條一條的把綁定信息寫進(jìn)去），如果增加了新設(shè)備或者某臺設(shè)備更換了端口或者網(wǎng)卡，如果不及時通知網(wǎng)絡(luò)管理員進(jìn)行修改，就沒有辦法上網(wǎng)，費(fèi)時費(fèi)力。針對這種情況，我們設(shè)計了一套較完善的ARP防護(hù)方式。在端口下過濾ARP報文，防止冒充網(wǎng)關(guān)。既然我們知道交換機(jī)的F0/24口上接的是網(wǎng)關(guān)，那么F0/1 到F0/23口都不可能發(fā)送出“我是網(wǎng)關(guān)”的ARP信息，所以我們可以在這些端口下過濾此類報文。交換機(jī)命令（需要兩層半交換機(jī)，S2026/S2126以上設(shè)備）：interface FastEthernet0/1switchport portsecurity block arp //在所有的非上聯(lián)端口上都配置此類命令，交換機(jī)可阻止其下端口發(fā)送“我是網(wǎng)關(guān)”類的ARP欺騙報文在接口下配置Filter功能，防ARP掃描攻擊。如果中毒機(jī)器不停變換自己的IP，那么他在短時間內(nèi)發(fā)送的ARP信息是非常多的，我們可以通過設(shè)置ARP計數(shù)器的方式來進(jìn)行管理，在一個時間單位內(nèi)，如果某個設(shè)備發(fā)送的ARP數(shù)量超過了我們設(shè)置的閥值，那么我們將過濾這臺設(shè)備的MAC一段時間，這個時間段內(nèi)這臺設(shè)備發(fā)送任何信息我們的交換機(jī)都不進(jìn)行轉(zhuǎn)發(fā)。交換機(jī)命令（需要兩層半交換機(jī)，既S2026/S2126以上設(shè)備）：interface FastEthernet0/1 filter arp //在接口下啟用arp過濾功能！filter period 5 //以5秒鐘為一個統(tǒng)計周期filter blocktime 60 //將攻擊主機(jī)隔離60秒filter threshold 100 //一個統(tǒng)計周期超過100個arp報文，就進(jìn)行隔離filter enable //在全局下啟用過濾功能一旦交換機(jī)F0/1端口下有PC在5秒內(nèi)發(fā)送的ARP報文超過100個，交換機(jī)將在60秒內(nèi)禁止此PC的MAC通過。免費(fèi)發(fā)放ARP
公司管理相關(guān)推薦
鄂ICP備17016276號-1