網(wǎng)絡(luò)嗅探技術(shù)ppt-資料下載頁(yè)
2024-10-18 19:22本頁(yè)面
【正文】 config le0檢查端口 .然后用： ＃ /usr/sbin/lsof test ＃ vi test 或 grep [打開的端口號(hào) ] 檢測(cè)文件大小的變化 。 如果你確信有人接了嗅探器到自己的網(wǎng)絡(luò)上，可以找一些驗(yàn)證的工具。這種工具稱為時(shí)域反射計(jì)量器 (Time Domaio Reflectometer，TDR)。 TDR對(duì)電磁波的傳播和變化進(jìn)行測(cè)量。將一個(gè) TDR連接到網(wǎng)絡(luò)上，能夠檢測(cè)到未授權(quán)的獲取網(wǎng)絡(luò)數(shù)據(jù)的設(shè)備。 在 Windows下，按 Ctrl+Alt+Del鍵，查看 “ 應(yīng)用程序 ” 、 “ 進(jìn)程 ” 和 “ 用戶 ” 項(xiàng)，若發(fā)現(xiàn)可疑的程序、進(jìn)程和用戶，則可懷疑機(jī)器被 sniffer，或是被病毒侵襲，或是正在被黑客攻擊。 Sniffer的防范措施 嗅探器通常是難以被發(fā)現(xiàn)的 ， 因?yàn)樗潜粍?dòng)的程序 ， 一個(gè)老練的攻擊者可以輕易通過破壞日志文件來掩蓋信息 。 它們并不會(huì)給別人留下進(jìn)行核查的尾巴 。 完全主動(dòng)的解決方案很難找到 ， 我們可以采用一些被動(dòng)的防御措施： l 安全的拓?fù)浣Y(jié)構(gòu)； l 會(huì)話加密； l 用靜態(tài)的 ARP或者 IP－ MAC對(duì)應(yīng)表代替動(dòng)態(tài)的 ARP。 嗅探器只能在當(dāng)前網(wǎng)段上進(jìn)行數(shù)據(jù)捕獲。這就意味著，將網(wǎng)絡(luò)分段工作進(jìn)行得越細(xì)，嗅探器能夠收集的信息就越少。但是，除非你的公司是一個(gè) ISP，或者資源相對(duì)不受限制，否則這樣的解決方案需要付出很大的代價(jià)。網(wǎng)絡(luò)分段需要昂貴的硬件設(shè)備。有三種網(wǎng)絡(luò)設(shè)備是嗅探器不可能跨過的：交換機(jī)、路由器、網(wǎng)橋。我們可以通過靈活的運(yùn)用這些設(shè)備來進(jìn)行網(wǎng)絡(luò)分段。大多數(shù)早期建立的內(nèi)部網(wǎng)絡(luò)都使用 HUB來連接多臺(tái)工作站，這就為網(wǎng)絡(luò)中數(shù)據(jù)的泛播 (數(shù)據(jù)向所有工作站流通 )，讓嗅探器能順利地工作提供了便利。普通的嗅探器程序只是簡(jiǎn)單地進(jìn)行數(shù)據(jù)的捕獲，因此需要杜絕網(wǎng)絡(luò)數(shù)據(jù)的泛播。 隨著交換機(jī)的價(jià)格下降，網(wǎng)絡(luò)改造變得可行且很必要了。不使用 HUB而用交換機(jī)來連接網(wǎng)絡(luò)，就能有效地避免數(shù)據(jù)進(jìn)行泛播，也就是避免讓一個(gè)工作站接收與之不相關(guān)的數(shù)據(jù)。 對(duì)網(wǎng)絡(luò)進(jìn)行分段，比如在交換機(jī)上設(shè)置 VLAN，使得網(wǎng)絡(luò)隔離不必要的數(shù)據(jù)傳送。一般可以采用 20個(gè)工作站為一組，這是一個(gè)比較合理的數(shù)字。然后，每個(gè)月人為地對(duì)每個(gè)網(wǎng)段進(jìn)行檢測(cè) (也可以每個(gè)月采用 MD5隨機(jī)地對(duì)某個(gè)網(wǎng)段進(jìn)行檢測(cè) )。網(wǎng)絡(luò)分段只適應(yīng)于中小的網(wǎng)絡(luò)。如果有一個(gè) 500個(gè)工作站的網(wǎng)絡(luò)，分布在 50個(gè)以上的部門中，若要對(duì)其完全的分段的話，成本上是很高的。 會(huì)話加密提供了另外一種解決方案。不用特別地?fù)?dān)心數(shù)據(jù)被嗅探，而是要想辦法使得嗅探器不認(rèn)識(shí)嗅探到的數(shù)據(jù)。這種方法的優(yōu)點(diǎn)是明顯的：即使攻擊者嗅探到了數(shù)據(jù)，這些數(shù)據(jù)對(duì)他也是沒有用的。 S/key和其它一次性口令技術(shù)一樣，使竊聽?zhēng)ぬ?hào)信息失去意義。S/key的原理是遠(yuǎn)程主機(jī)已得到一個(gè)口令（這個(gè)口令不會(huì)在不安全的網(wǎng)絡(luò)中傳輸），當(dāng)用戶連接時(shí)會(huì)獲得一個(gè) “ 挑戰(zhàn) ” (challenge)信息，用戶將這個(gè)信息和口令經(jīng)過某種算法運(yùn)算，產(chǎn)生正確的 “ 響應(yīng) ” (response)信息（如果通訊雙方口令正確的話）。這種驗(yàn)證方式無需在網(wǎng)絡(luò)中傳輸口令，而且相同的 “ 挑戰(zhàn) /響應(yīng) ” 也不會(huì)出現(xiàn)兩次。S/key可從以下網(wǎng)址得到： ftp： //。它的缺點(diǎn)是所有帳號(hào)信息都存放在一臺(tái)主機(jī)中，如果該主機(jī)被入侵，則會(huì)危及整個(gè)網(wǎng)絡(luò)安全。另外配置它也不是一件簡(jiǎn)單的事情。 Kerberos包括流加密 rlogind和流加密 teld等，它可以防止入侵者捕獲用戶在登錄完成后所進(jìn)行的操作。在加密時(shí)有兩個(gè)主要的問題：一個(gè)是技術(shù)問題，一個(gè)是人為問題。 技術(shù)問題是指加密能力是否高。例如， 64位的 DES加密就可能不夠安全，而且并不是所有的應(yīng)用程序都集成了加密支持。另外，跨平臺(tái)的加密方案還比較少見，一般只在一些特殊的應(yīng)用之中才有。人為問題是指，有些用戶可能不喜歡加密，他們覺得這太麻煩。用戶可能開始會(huì)使用加密，但很少能夠堅(jiān)持下來?？傊?，必須尋找一種友好的媒介，還要具有一定的用戶友好性。使用 secure shell、 secure copy或者 IPV6協(xié)議都可以使得信息安全的傳輸。傳統(tǒng)的網(wǎng)絡(luò)服務(wù)程序， SMTP、 HTTP、 FTP、 POP3和 Tel等在本質(zhì)上都是不安全的，因?yàn)樗鼈冊(cè)诰W(wǎng)絡(luò)上用明文傳送口令和數(shù)據(jù)，嗅探器非常容易就可以截獲這些口令和數(shù)據(jù)。 SSH的英文全稱是 Secure Shell。通過使用 SSH，你可以把所有傳輸?shù)臄?shù)據(jù)進(jìn)行加密。還有一個(gè)額外的好處就是傳輸?shù)臄?shù)據(jù)是經(jīng)過壓縮的，所以可以加快傳輸?shù)乃俣取?SSH有很多功能，它既可以代替 Tel，又可以為 FTP、 POP，甚至 PPP提供一個(gè)安全的 “ 通道 ” 。 SSH綁定在端口 22上，其連接采用協(xié)商方式使用 RSA加密。身份鑒別完成之后，后面的所有流量都使用 IDEA進(jìn)行加密。 SSH程序可以通過網(wǎng)絡(luò)登錄到遠(yuǎn)程主機(jī)并執(zhí)行命令。SSH的加密隧道保護(hù)的只是中間傳輸?shù)陌踩?，使得任何通常的嗅探工具軟件無法獲取發(fā)送的內(nèi)容。它提供了很強(qiáng)的安全驗(yàn)證可以在不安全的網(wǎng)絡(luò)中進(jìn)行安全的通信，所以它是防范嗅探器的一種較好的方法。 ARP或者 IP－ MAC對(duì)應(yīng)表代替動(dòng)態(tài)的 ARP 或者 IP－ MAC對(duì)應(yīng)表 該措施主要是進(jìn)行滲透嗅探的防范，采用諸如 ARP欺騙手段能夠讓入侵者在交換網(wǎng)絡(luò)中順利完成嗅探。網(wǎng)絡(luò)管理員需要對(duì)各種欺騙手段進(jìn)行深入了解，比如嗅探中通常使用的 ARP欺騙，主要是通過欺騙進(jìn)行 ARP動(dòng)態(tài)緩存表的修改。在重要的主機(jī)或者工作站上設(shè)置靜態(tài)的 ARP對(duì)應(yīng)表，比如 Windows 2021/XP系統(tǒng)使用 ARP命令設(shè)置，在交換機(jī)上設(shè)置靜態(tài)的 IPMAC對(duì)應(yīng)表等，防止利用欺騙手段進(jìn)行嗅探的手法。 (1)本機(jī) MAC地址和 IP地址的查找 在 DOS命令窗口下，用 ipconfig all命令查找本機(jī)的 MAC地址和 IP地址。如圖 114所示。 (2)ARP命令的用法 ARP [–a] s] d] IP Address MAC Address 參數(shù)說明： a 顯示 ARP命令幫助 s 綁定一個(gè) MAC地址和 IP地址 d 刪除一個(gè)綁定 例： arp –s 000EA6B43284
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1