【導讀】溫州春華校園網(wǎng)絡設計方案。思科系統(tǒng)網(wǎng)絡技術有限公司。二零零八年十二月

　　

【正文】 廣播到交換機所有端口，交換機就像共享 HUB 一樣工作，黑客可以用 sniffer 工具監(jiān)聽所有端口的流量。此類攻擊不僅造成安全性的破壞，同時大量的廣播包降低了交換機的性能。 當交換機的 CAM 表被填滿后， 交換機以廣播方式處理通過交換機的報文，這時攻擊者可以利用各種嗅探攻擊獲取網(wǎng)絡信息。 更為嚴重的是，這種攻擊也會導致所有鄰接的交換機 CAM 表被填滿 ，流量以洪泛方式發(fā)送到所有 交換機的所溫州春華 校園 網(wǎng)絡設計方案 27 有含有此 VLAN 的 接口， 從而 造成交換機負載過大 、 網(wǎng)絡緩慢和丟包甚至癱瘓。 MAC 泛濫 攻擊防范 方法 限制單個端口所連接 MAC 地址的數(shù)目可以有效防止類似 macof工具和 SQL蠕蟲病毒發(fā)起的攻擊， macof 可被網(wǎng)絡用戶用來產(chǎn)生隨機源 MAC 地址和隨機目的 MAC 地址的數(shù)據(jù)包，可以在不到 10 秒的時間內(nèi)填滿交換機的 CAM 表。 Cisco Catalyst 交換機的端口安全（ Port Security）和動態(tài)端口安全功能可被用來阻止MAC 泛濫攻擊。例如交換機連接單臺工作站的端口，可以限制所學 MAC 地址數(shù)為 1；連接 IP 電話和工作站的端口可限制所學 MAC 地址數(shù)為 3： IP 電話、工作站和 IP 電話內(nèi)的交換機。 通過端口安全功能，網(wǎng)絡管理員也可以靜態(tài)設置 每個端口所允許連接的合法 MAC 地址，實現(xiàn)設備級的安全授權(quán)。動態(tài)端口安全則設置端口允許合法 MAC地址的數(shù)目，并以一定時間內(nèi)所學習到的地址作為合法 MAC 地址。 通過配置 Port Security 可以控制： ? 端口上最大可以通過的 MAC 地址數(shù)量 ? 端口上學習或通過哪些 MAC 地址 ? 對于超過規(guī)定數(shù)量的 MAC 處理進行違背處理 端口上學習或通過哪些 MAC 地址，可以通過靜態(tài)手工定義，也可以在交換機自動學習。交換機動態(tài)學習端口 MAC，直到指定的 MAC 地址數(shù)量，交換機關機后重新學習。目前較新的技術是 Sticky Port Security，交換機將學到的 mac地址寫到端口配置中，交換機重啟后配置仍然存在。 對于超過規(guī)定數(shù)量的 MAC 處理進行處理一般有三種方式（針對交換機型號會有所不同）： 溫州春華 校園 網(wǎng)絡設計方案 28 ? Shutdown：端口關閉。 ? Protect： 丟棄非法流量，不報警。 ? Restrict： 丟棄非法流量，報警。 DHCP 欺騙 攻擊的防范 采用 DHCP 管理的常見問題 采用 DHCP server 可以自動為用戶設置網(wǎng)絡 IP 地址、掩碼、網(wǎng)關、 DNS、WINS 等網(wǎng)絡參數(shù)，簡化了用戶網(wǎng)絡設置，提高了管理效率。但在 DHCP 管理使用上也存在著一些另網(wǎng)管 人員比較問題，常見的有： ? DHCP server 的冒充。 ? DHCP server 的 DOS 攻擊。 ? 有些用戶隨便指定地址，造成網(wǎng)絡地址沖突。 ? 由于 DHCP 的運作機制，通常服務器和客戶端沒有認證機制，如果網(wǎng)絡上存在多臺 DHCP 服務器將會給網(wǎng)絡照成混亂。 ? 由于不小心配置了 DHCP 服務器引起的網(wǎng)絡混亂 也 非常常見 。 黑客利用類似 Goobler 的工具可以發(fā)出大量帶有不同源 MAC 地址的 DHCP請求，直到 DHCP 服務器對應網(wǎng)段的所有地址被占用，此類攻擊既可以造成 DOS的破壞，也可和 DHCP 服務器欺詐結(jié)合將流量重指到意 圖進行流量截取的惡意節(jié)點。 DHCP 服務器欺詐可能是故意的，也可能是無意啟動 DHCP 服務器功能，惡意用戶發(fā)放錯誤的 IP 地址、 DNS 服務器信息或默認網(wǎng)關信息，以此來實現(xiàn)流量的截取。 溫州春華 校園 網(wǎng)絡設計方案 29 DHCP Snooping 技術 概述 DHCP Snooping 技術是 DHCP 安全特性，通過建立和維護 DHCP Snooping綁定表過濾不可信任的 DHCP 信息，這些信息是指來自不信任區(qū)域的 DHCP 信息。 通過截取一個虛擬局域網(wǎng)內(nèi)的 DHCP 信息，交換機可以在用戶和 DHCP 服務器之間擔任就像小型安全防火墻這樣的角色， ―DHCP 監(jiān)聽 ‖功能基于動態(tài)地址分配建立了一個 DHCP 綁定表，并將該表存貯在交換機里。在沒有 DHCP 的環(huán)境中，如數(shù)據(jù)中心，綁定條目可能被靜態(tài)定義，每個 DHCP 綁定條目包含客戶端地址（一個靜態(tài)地址或者一個從 DHCP 服務器上獲取的地址）、客戶端 MAC地址、端口、 VLAN ID、租借時間、綁定類型（靜態(tài)的或者動態(tài)的）。 基本防范 為了防止這種類型的攻擊， Catalyst DHCP 偵聽（ DHCP Snooping）功能可有效阻止此類攻擊，當打開此功能，所有用戶端口除非特別設置，被認為不可信任端口，不應該作出任何 DHCP 響應，因此欺 詐 DHCP 響應包被交換機阻斷，合法的 DHCP 服務器端口或上連端口應被設置為信任端口。 Catalyst DHCP 偵聽（ DHCP Snooping）對于下邊介紹的其他阻止 ARP 欺騙和 IP/MAC地址的欺騙是必需的。 ARP 欺騙攻擊 原理 和 處理方法 ARP 欺騙攻擊 原理 從影響網(wǎng)絡連接通暢的方式來看， ARP 欺騙分為二種，一種是對路由器 ARP 表的欺騙；另一種是對內(nèi)網(wǎng) PC 的網(wǎng)關欺騙。 第一種 ARP 欺騙的原理是 ——截獲網(wǎng)關數(shù)據(jù)。它通知路由器一系列錯誤的內(nèi)網(wǎng)MAC 地址，并按照一定的頻率不斷進行，使真實的 地址信息無法通過更新保存溫州春華 校園 網(wǎng)絡設計方案 30 在路由器中，結(jié)果路由器的所有數(shù)據(jù)只能發(fā)送給錯誤的 MAC 地址，造成正常 PC無法收到信息。第二種 ARP 欺騙的原理是 ——偽造網(wǎng)關。它的原理是建立假網(wǎng)關，讓被它欺騙的 PC 向假網(wǎng)關發(fā)數(shù)據(jù)，而不是通過正常的路由器途徑上網(wǎng)。在PC 看來，就是上不了網(wǎng)了， ―網(wǎng)絡掉線了 ‖。 近期，一種新型的 ― ARP 欺騙 ‖木馬病毒正在校園網(wǎng)中擴散，嚴重影響了校園網(wǎng)的正常運行。感染此木馬的計算機試圖通過 ― ARP 欺騙 ‖手段截獲所在網(wǎng)絡內(nèi)其它計算機的通信信息，并因此造成網(wǎng)內(nèi)其它計算機的通信故障。 ARP 欺騙木馬的中毒 現(xiàn)象表現(xiàn)為：使用校園網(wǎng)時會突然掉線，過一段時間后又會恢復正常。比如客戶端狀態(tài)頻頻變紅，用戶頻繁斷網(wǎng)， IE 瀏覽器頻繁出錯，以及一些常用軟件出現(xiàn)故障等。如果校園網(wǎng)是通過身份認證上網(wǎng)的，會突然出現(xiàn)可認證，但不能上網(wǎng)的現(xiàn)象（無法 ping 通網(wǎng)關），重啟機器或在 MSDOS 窗口下運行命令 arp d后，又可恢復上網(wǎng)。 ARP 欺騙木馬十分猖狂，危害也特別大，各大學校園網(wǎng)、小區(qū)網(wǎng)、公司網(wǎng)和網(wǎng)吧等局域網(wǎng)都出現(xiàn)了不同程度的災情，帶來了網(wǎng)絡大面積癱瘓的嚴重后果。 ARP 欺騙木馬只需成功感染一臺電腦，就可能導致整個局域網(wǎng)都無法上網(wǎng)，嚴 重的甚至可能帶來整個網(wǎng)絡的癱瘓。 檢查和處理 “ ARP 欺騙 ” 木馬的方法 1 ．檢查本機的 ― ARP 欺騙 ‖木馬染毒進程 同時按住鍵盤上的 ― CTRL ‖和 ― ALT ‖鍵再按 ― DEL ‖鍵，選擇 ―任務管理器 ‖，點選 ―進程 ‖標簽。察看其中是否有一個名為 ― ‖的進程。如果有，則說明已經(jīng)中毒。右鍵點擊此進程后選擇 ―結(jié)束進程 ‖。參見右圖。 2 ．檢查網(wǎng)內(nèi)感染 ― ARP 欺騙 ‖木馬染毒的計算機 在 ―開始 ‖ ―程序 ‖ ―附件 ‖菜單下調(diào)出 ―命令提示符 ‖。輸入并執(zhí)行以下命令： ipconfig 溫州春華 校園 網(wǎng)絡設計方案 31 記錄網(wǎng)關 IP 地址，即 ― Default Gateway ‖對應的值，例如 ― ‖。再輸入并執(zhí)行以下命令： arp –a 在 ― Inter Address ‖下找到上步記錄的網(wǎng)關 IP 地址，記錄其對應的物理地址，即 ― Physical Address ‖值，例如 ― 0001e81f3554 ‖。在網(wǎng)絡正常時這就是網(wǎng)關的正確物理地址，在網(wǎng)絡受 ― ARP 欺騙 ‖木馬影響而不正常時，它就是木馬所在計算機的網(wǎng)卡物理地址。 也可以掃描本子 網(wǎng)內(nèi)的全部 IP 地址，然后再查 ARP 表。如果有一個 IP 對應的物理地址與網(wǎng)關的相同，那么這個 IP 地址和物理地址就是中毒計算機的 IP 地址和網(wǎng)卡物理地址。 3 ．設置 ARP 表避免 ― ARP 欺騙 ‖木馬影響的方法 本方法可在一定程度上減輕中木馬的其它計算機對本機的影響。用上邊介紹的方法確定正確的網(wǎng)關 IP 地址和網(wǎng)關物理地址，然后在 ―命令提示符 ‖窗口中輸入并執(zhí)行以下命令： arp –s 網(wǎng)關 IP 網(wǎng)關物理地址 ARP 綁定網(wǎng)關 步驟一： 在能正常上網(wǎng)時，進入 MSDOS 窗口，輸入命令： arp － a，查看網(wǎng)關的 IP 對應的正確 MAC 地址， 并將其記錄下來。 溫州春華 校園 網(wǎng)絡設計方案 32 注意：如果已經(jīng)不能上網(wǎng)，則先運行一次命令 arp － d 將 arp 緩存中的內(nèi)容刪空，計算機可暫時恢復上網(wǎng)（攻擊如果不停止的話）。一旦能上網(wǎng)就立即將網(wǎng)絡斷掉（禁用網(wǎng)卡或拔掉網(wǎng)線），再運行 arp － a。 步驟二： 如果計算機已經(jīng)有網(wǎng)關的正確 MAC 地址，在不能上網(wǎng)只需手工將網(wǎng)關 IP 和正確的 MAC 地址綁定，即可確保計算機不再被欺騙攻擊。 要想手工綁定，可在 MSDOS 窗口下運行以下命令： arp － s 網(wǎng)關 IP 網(wǎng)關 MAC 例如：假設計算機所處網(wǎng)段的網(wǎng)關為 ，本機地址為 ，在計算機上運行 arp － a 后輸出如下： Cocuments and Settingsarp a Interface: 0x2 Inter Address Physical Address Type 000102030405 dynamic 其中， 000102030405 就是網(wǎng)關 對應的 MAC 地址，類型是動態(tài)（ dynamic）的，因此是可被改變的。 被攻擊后，再用該命令查看，就會發(fā)現(xiàn)該 MAC 已經(jīng)被替換成攻擊機器的 MAC。如果希望能找出攻擊機器，徹底根除攻擊，可以在此時將該 MAC 記錄下來，為溫州春華 校園 網(wǎng)絡設計方案 33 以后查找該攻擊的機器做準備。 手工綁定的命令為： arp － s 000102030405 綁定完，可再用 arp － a 查看 arp 緩存： Cocuments and Settingsarp a Interface: 0x2 Inter Address Physical Address Type 000102030405 static 這時，類型變?yōu)殪o態(tài)（ static），就不會再受攻擊影響了。 但是，需要說明的是，手工綁定在計算機關機重啟后就會失效，需要再次重新綁定。所以，要徹底根除攻擊，只有找出網(wǎng)段內(nèi)被病毒感染的計算機，把病毒殺掉，才算是真正解決問題。 5 .作批處理文件 在客戶端做對網(wǎng)關的 arp 綁定，具體操作步驟如下： 步驟一： 查找本網(wǎng) 段的網(wǎng)關地址，比如 192． 168． 1． 1，以下以此網(wǎng)關為例。在正常上溫州春華 校園 網(wǎng)絡設計方案 34 網(wǎng)時， ―開始 → 運行 →cmd→ 確定 ‖，輸入： arp － a，點回車，查看網(wǎng)關對應的Physical Address。 比如：網(wǎng)關 對應 00－ 01－ 02－ 03－ 04－ 05。 步驟二： 編寫一個批處理文件 ，內(nèi)容如下： @echo off arp － d arp s 00－ 01－ 02－ 03－ 04－ 05 保存為： 。 步驟三： 運行批處理文件 將這個批處理文件拖到 ―Windows→ 開始 → 程序 → 啟動 ‖中，如果需要立即生效，請運行此文件。 注意：以上配置需要在網(wǎng)絡正常時進行 及時下載 Anti ARP Sniffer 軟件保護本地計算機正常運行。具體使用方法可以在網(wǎng)上搜索。 溫州春華 校園 網(wǎng)絡設計方案 35 如果已有病毒計算機的 MAC 地址，可使用 NBTSCAN 等軟件找出網(wǎng)段內(nèi)與該MAC 地址對應的 IP，即感染病毒的計算機的 IP 地址，然后報告單位的網(wǎng)絡中心對其進行查封。 或者利用單位提供的集中網(wǎng)絡防病毒系統(tǒng)來統(tǒng)一查殺木馬。另外還可以利用木馬殺客等安全 工具進行查殺。 網(wǎng)絡管理管理人員利用上面介紹的 ARP 木馬檢測方法在局