網(wǎng)絡信息系統(tǒng)的安全設計方案(編輯修改稿)
2025-06-11 01:36 本頁面
【文章內(nèi)容簡介】 ）病毒可謂是現(xiàn)在最普遍的網(wǎng)絡危害，一具用戶感染病毒就可能危害到整個網(wǎng)絡。欺騙類病毒目前可以分為3種類型：中毒機器不停發(fā)送“我是網(wǎng)關”的ARP信息，試圖來欺騙其他PC，讓他們將自己看作網(wǎng)關，如圖中的F0/1口下的PC A可以通過這種類型的ARP病毒讓PC B認為網(wǎng)關是PC A。中毒機器不停的變換自己的IP，來擾亂網(wǎng)關設備的ARP表象，試圖讓網(wǎng)關看到的所有的IP都是自己，這樣其他用戶的IP就不能被網(wǎng)關設備認出了，如上圖中，PC A可以不停的變換自己的IP， A，PC B當然就不能被網(wǎng)關識別了。中毒機器將自己的MAC地址修改成交換機的下一跳網(wǎng)絡設備的MAC地址，試圖讓交換機的MAC表發(fā)生紊亂，讓交換機從錯誤的端口發(fā)送出數(shù)據(jù)包，如上圖中，PC A會將自己的MAC地址修改成網(wǎng)關的MAC地址00E00F2796D0，這樣交換機在F0/1和F0/24上都學習到這個地址，MAC表就亂了這種類型并不能算上ARP病毒，但是同屬于欺騙類病毒。目前大部分廠家都是通過綁定IP、MAC、端口的方式來保證安全，但是這樣的方式實現(xiàn)起來麻煩（要一條一條的把綁定信息寫進去），如果增加了新設備或者某臺設備更換了端口或者網(wǎng)卡，如果不及時通知網(wǎng)絡管理員進行修改，就沒有辦法上網(wǎng)，費時費力。針對這種情況，我們設計了一套較完善的ARP防護方式。在端口下過濾ARP報文，防止冒充網(wǎng)關。既然我們知道交換機的F0/24口上接的是網(wǎng)關，那么F0/1 到F0/23口都不可能發(fā)送出“我是網(wǎng)關”的ARP信息，所以我們可以在這些端口下過濾此類報文。交換機命令（需要兩層半交換機，S2026/S2126以上設備）：interface FastEthernet0/1switchport portsecurity block arp //在所有的非上聯(lián)端口上都配置此類命令，交換機可阻止其下端口發(fā)送“我是網(wǎng)關”類的ARP欺騙報文在接口下配置Filter功能，防ARP掃描攻擊。如果中毒機器不停變換自己的IP，那么他在短時間內(nèi)發(fā)送的ARP信息是非常多的，我們可以通過設置ARP計數(shù)器的方式來進行管理，在一個時間單位內(nèi)，如果某個設備發(fā)送的ARP數(shù)量超過了我們設置的閥值，那么我們將過濾這臺設備的MAC一段時間，這個時間段內(nèi)這臺設備發(fā)送任何信息我們的交換機都不進行轉發(fā)。交換機命令（需要兩層半交換機，既S2026/S2126以上設備）：interface FastEthernet0/1 filter arp //在接口下啟用arp過濾功能！filter period 5 //以5秒鐘為一個統(tǒng)計周期filter blocktime 60 //將攻擊主機隔離60秒filter threshold 100 //一個統(tǒng)計周期超過100個arp報文，就進行隔離filter enable //在全局下啟用過濾功能一旦交換機F0/1端口下有PC在5秒內(nèi)發(fā)送的ARP報文超過100個，交換機將在60秒內(nèi)禁止此PC的MAC通過。免費發(fā)放ARP
公司管理相關推薦
鄂ICP備17016276號-1