【正文】 ，對(duì)一些設(shè)備特有的，在各分冊(cè)中具體描述。 更改標(biāo)準(zhǔn)端口由于部分服務(wù)，如 Tel、HTTP、SNMP 等本身存在的一些安全缺陷，為提高設(shè)備的安全性，建議更改部分應(yīng)用的標(biāo)準(zhǔn)端口號(hào)，特別時(shí)網(wǎng)管協(xié)議的端口號(hào)，如 Tel、HTTP、SNMP 等。將協(xié)議運(yùn)行在非標(biāo)準(zhǔn)端口上，如“49152 至 65535。強(qiáng)烈建議，如要使用 HTTP、Tel、SNMP 服務(wù)進(jìn)行管理時(shí)，更改其標(biāo)準(zhǔn)端口號(hào)（如果支持的話），并對(duì)其進(jìn)行強(qiáng)口令認(rèn)證和訪問地址限制。注意不是所有的設(shè)備都支持此項(xiàng)功能。各設(shè)備規(guī)范分冊(cè)提供詳細(xì)的設(shè)置命令。 關(guān)閉不必要的服務(wù)有些網(wǎng)絡(luò)設(shè)備本身提供了許多比較危險(xiǎn)的服務(wù)如 CISCO 設(shè)備的 CDP、TCP 和UDP Small、Finger、HTTP、BOOTp、ARPProxy、 IP Directed Broadcast、IP Classless、WINS 和 DNS 等等，這些服務(wù)存在潛在的安全漏洞，并存在信息泄漏的問題。對(duì)該類服務(wù)的建議是，如果不需要服務(wù)，強(qiáng)烈關(guān)閉這些服務(wù)，尤其是 HTTP 服務(wù)。各設(shè)備規(guī)范分冊(cè)對(duì)上述服務(wù)的問題進(jìn)行描述，并提供設(shè)置的相關(guān)命令。21 / 25 防 DOS 攻擊DoS（拒絕服務(wù)攻擊）是通過使你的服務(wù)計(jì)算機(jī)崩潰或把它壓跨來阻止你提供服務(wù)。簡(jiǎn)單的來說，就是讓你的計(jì)算機(jī)提供可能多的服務(wù)從而使你的計(jì)算機(jī)陷入崩潰的邊緣或崩潰。一般服務(wù)拒絕攻擊有如下的一些常用的手法有：死亡之 ping （ping of death）、淚滴（teardrop）、UDP 洪水（UDP flood）、TCP SYN（SYN flood）、 攻擊等。目前 DoS 攻擊又出現(xiàn)了新的攻擊方式，如 DDoS。DDoS(分布式拒絕服務(wù))，它的英文全稱為 Distributed Denial of Service，它是一種基于 DoS 的特殊形式的拒絕服務(wù)攻擊，是一種分布、協(xié)作的大規(guī)模攻擊方式，主要瞄準(zhǔn)比較大的站點(diǎn)，象商業(yè)公司，搜索引擎和政府部門的站點(diǎn)。對(duì) DoS 攻擊在發(fā)生前完全阻止 DoS 攻擊幾乎是不可能的事，但通過設(shè)備上的相關(guān)過濾和限速技術(shù)，可以最大限度地降低此類攻擊的影響。但對(duì)上述技術(shù)的實(shí)施有可能會(huì)對(duì)設(shè)備的性能造成影響，在實(shí)施時(shí)建議獲取設(shè)備提供商的意見。對(duì) DoS 攻擊的有效防范方法之一是監(jiān)視具體的分組，配置過濾器，在分組數(shù)量達(dá)到用戶規(guī)定的門限時(shí)丟棄分組。另一種方法是開啟相關(guān)限速功能，如在所有邊緣限制網(wǎng)絡(luò)接納的 ICMP 分組數(shù)量，從而降低 smurf 攻擊的影響。下面分別對(duì)幾類典型的 DoS 攻擊及防范作一介紹。 Smurf 進(jìn)攻的防范。Smurf 攻擊是向包含大量主機(jī)的網(wǎng)絡(luò)執(zhí)行帶有特定請(qǐng)求（如 ICMP 回應(yīng)請(qǐng)求）的包，攻擊者的 IP 地址并不是這個(gè)廣播 ping 的信源地址，而是將源地址偽裝成想要攻擊的主機(jī)地址。接到這個(gè)廣播 ping 的所有主機(jī)都會(huì)向攻擊者標(biāo)明的主機(jī)作出回應(yīng)，結(jié)果導(dǎo)致受攻擊的主機(jī)超載，與該主機(jī)相連的多條鏈路都會(huì)飽和。Smurf 如下圖所示：22 / 25Intermediary Hosts (Several on Same Sub)：中間主機(jī)（多臺(tái)中間主機(jī)位于同一個(gè)子網(wǎng)上）Attacker39。s Workstation：攻擊者的工作站Your Server：你的服務(wù)器Smurf 攻擊分成兩種類型：對(duì)路由器的攻擊和對(duì)網(wǎng)絡(luò)上主機(jī)的攻擊。此外，smurf 攻擊目標(biāo)路由器的方式也有兩種：路由器可以是中間路由器，也可以是真正的攻擊目標(biāo)。在設(shè)備分冊(cè)中，對(duì)各類設(shè)備 smurf 攻擊的發(fā)現(xiàn)和防范方法作了詳細(xì)介紹。 TCP SYN 的防范利用 TCP 連接機(jī)制的攻擊。Synflood: 該攻擊以多個(gè)隨機(jī)的源主機(jī)地址向目的主機(jī)發(fā)送 SYN 包，而在收到目的主機(jī)的 SYN ACK 后并不回應(yīng)，這樣，目的主機(jī)就為這些源主機(jī)建立了大量的連接隊(duì)列，而且由于沒有收到 ACK 一直維護(hù)著這些隊(duì)列，造成了資源的大量消耗而不能向正常請(qǐng)求提供服務(wù)。而正確的信息交換過程應(yīng)該是：客戶機(jī) 服務(wù)器23 / 25SYN SYN_ACKACK一般來說，半個(gè)會(huì)話不會(huì)導(dǎo)致重大損害，因?yàn)榉?wù)器會(huì)認(rèn)為會(huì)話超時(shí)，繼續(xù)進(jìn)行正常的處理工作。在 SYN 泛濫的情況下，假冒客戶機(jī)發(fā)起半個(gè)會(huì)話，因此不能完成三方詢問。攻擊者以非?？斓乃俣劝l(fā)起這些 SYN 攻擊，操作系統(tǒng)會(huì)預(yù)留資源，等待永遠(yuǎn)不會(huì)到來的最終 ACK，其對(duì)服務(wù)器的影響包括耗盡內(nèi)存，導(dǎo)致系統(tǒng)癱瘓，直至使用所有可用服務(wù)，從而拒絕能夠建立連接的合法用戶。網(wǎng)絡(luò)設(shè)備一般可以以多種方式最大限度地降低了對(duì)主機(jī)的 SYN 攻擊，如：? 通過限制了設(shè)備上服務(wù)數(shù)量； ? 正確配置設(shè)備，使得只能從信任的地址建立服務(wù)；通過上述限制，使得即使從保護(hù)的地址上發(fā)起 SYN 泛濫，由于它限制了內(nèi)核允許的連接數(shù)量，因此不會(huì)出現(xiàn)內(nèi)存耗盡的問題。在設(shè)備分冊(cè)中，對(duì)各類設(shè)備 TCP SYN 攻擊的發(fā)現(xiàn)和防范方法作了詳細(xì)介紹。24 / 25 進(jìn)攻的防范攻擊者將一個(gè)包的源地址和目的地址都設(shè)置為目標(biāo)主機(jī)的地址，然后將該包通過 IP 欺騙的方式發(fā)送給被攻擊主機(jī)，這種包可以造成被攻擊主機(jī)因試圖與自己建立連接而陷入死循環(huán)，從而很大程度地降低了系統(tǒng)性能。在 攻擊中，一個(gè)特別打造的 SYN 包它的原地址和目標(biāo)地址都被設(shè)置成某一個(gè)服務(wù)器地址，此舉將導(dǎo)致接受服務(wù)器向它自己的地址發(fā)送 SYNACK 消息，結(jié)果這個(gè)地址又發(fā)回 ACK 消息并創(chuàng)建一個(gè)空連接，每一個(gè)這樣的連接都將保留直到超時(shí)掉，對(duì) 攻擊反應(yīng)不同，許多 UNIX 實(shí)現(xiàn)將崩潰，NT 變的極其緩慢（大約持續(xù)五分鐘）。對(duì) 攻擊的最好防范是對(duì)進(jìn)入 IP 流量的源地址進(jìn)行限制。 ICMP 協(xié)議的安全配置ICMP 的全名是 Inter Control and Message Protocal 即因特網(wǎng)控制消息/錯(cuò)誤報(bào)文協(xié)議，這個(gè)協(xié)議主要是用來進(jìn)行錯(cuò)誤信息和控制信息的傳遞，例如著名的 Ping 和 Tracert 工具都是利用 ICMP 協(xié)議中的 ECHO request 報(bào)文進(jìn)行的（請(qǐng)求報(bào)文 ICMP ECHO 類型 8 代碼 0，應(yīng)答報(bào)文 ICMP ECHOREPLY 類型 0 代碼0）。ICMP 協(xié)議有一個(gè)特點(diǎn)它是無連結(jié)的，也就是說只要發(fā)送端完成 ICMP報(bào)文的封裝并傳遞給路由器，這個(gè)報(bào)文將會(huì)象郵包一樣自己去尋找目的地址，這個(gè)特點(diǎn)使得 ICMP 協(xié)議非常靈活快捷，但是同時(shí)也帶來一個(gè)致命的缺陷易偽造（郵包上的寄信人地址是可以隨便寫的），任何人都可以偽造一個(gè) ICMP 報(bào)文并發(fā)送出去，偽造者可以利用 SOCK_RAW 編程直接改寫報(bào)文的 ICMP 首部和 IP首部，這樣的報(bào)文攜帶的源地址是偽造的，在目的端根本無法追查，（攻擊者不怕被抓就會(huì)有恃無恐）根據(jù)這個(gè)原理，外面出現(xiàn)了不少基于 ICMP 的攻擊軟件，有通過網(wǎng)絡(luò)架構(gòu)缺陷制造 ICMP 風(fēng)暴的，有使用非常大的報(bào)文堵塞網(wǎng)絡(luò)的，有利用 ICMP 碎片攻擊消耗服務(wù)器 CPU 的，甚至如果將 ICMP 協(xié)議用來進(jìn)行通訊，可以制作出不需要任何 TCP/UDP 端口的木馬）?？紤]到 ICMP 協(xié)議存在的問題，有必要對(duì)設(shè)備 ICMP 協(xié)議的使用進(jìn)行控制，25 / 25如禁止 ICMP 協(xié)議的 ECHO、Redirect、Mask request 對(duì)設(shè)備的訪問；同時(shí)對(duì)于流出的 ICMP 流，可以允許 ECHO、Parameter Problem、Packet too big。 其他特定的安全配置由于特定的安全設(shè)置在不同設(shè)備上的表現(xiàn)不同，在這只能提出一些思路，具體見各設(shè)備分冊(cè)，還有下列安全配置可以考慮：? 對(duì) COM/AUX 等端口的管理要求? 禁止從網(wǎng)絡(luò)啟動(dòng)和自動(dòng)從網(wǎng)絡(luò)下載初始配置文件。? 禁止未使用或空閑的端口? banner 的設(shè)置要求? 對(duì) TraceRoute 命令使用的限制。? IP 欺騙得簡(jiǎn)單防護(hù)。