博达交换机对于最新MAC/CAM攻击的防范
发布时间:2008/5/29 0:00:00 访问次数:549
在网络实际环境中，攻击和欺骗行为主要针对链路层和网络层，其来源可概括为两个途径：人为实施；病毒或蠕虫。人为实施通常是指使用一些黑客的工具对网络进行扫描和嗅探，获取管理帐户和相关密码，在网络上中安插木马，从而进行进一步窃取机密文件。攻击和欺骗过程往往比较隐蔽和安静，但对于信息安全要求高的企业危害是极大的。而来自木马或者病毒及蠕虫的攻击和往往会偏离攻击和欺骗本身的目的，现象有时非常直接，会带来网络流量加大、设备 cpu 利用率过高、二层生成树环路直至网络瘫痪。
目前这类攻击和欺骗工具已经非常成熟和易用，而目前很多单位在部署这方面的防范还存在很多不足，有很多工作要做。博达针对这类攻击已有较为成熟的解决方案，主要基于下面的几个关键的技术：
u switchport port security feature
u dhcp snooping功能
u 动态arp inspection（dai）
u 源ip检测防护功能（ip source guard）
u 防arp欺骗攻击、防dhcp欺骗攻击、防igmp攻击（filter arp，filter dhcp，filter igmp）
u 访问列表控制技术〔mac acl、ip（tcp/udp）acl〕
u 组播、广播风暴抑制（storm-control）
在mac/cam攻击的原理和危害方面：交换机主动学习客户端的 mac 地址，并建立和维护端口和 mac 地址的对应表以此建立交换路径，这个表就是通常我们所说的 cam 表。cam 表的大小是固定的，不同的交换机的cam 表大小不同。mac/cam 攻击是指利用工具产生欺骗 mac，快速填满cam 表，交换机cam 表被填满后，交换机以广播方式处理通过交换机的报文，这时攻击者可以利用各种嗅探攻击获取网络信息。cam 表满了后，流量以洪泛方式发送到所有接口，也就代表trunk 接口上的流量也会发给所有接口和邻接交换机，会造成交换机负载过大，网络缓慢和丢包甚至瘫痪。
博达交换机port security feature 可以防止mac和mac/cam攻击。通过配置port security可以控制：
端口上学习或通过哪些ip地址或mac 地址 ；端口上学习或通过哪些 mac 地址，可以通过静态手工定义，也可以在交换机自动学习。交换机动态学习端口 mac ，直到指定的 mac 地址数量，交换机关机后重新学习。
port-security配置
bind：绑定，允许；
block：阻塞，禁止。
switch_config_f0/1#switchport port-security ?
bind -- config ip address binding with mac address on current port
block -- block ip with mac address on current port
（1） 端口bind绑定功能
（源ip、源mac、源ip-mac、关于某个ip地址的arp response）
switch_config_f0/1#switchport port-security bind ?
ip -- config the function for ip packet
mac -- config mac address
arp -- config the function for arp packet
both-arp-ip -- config the ip address for both arp-ip packet
（2）端口block功能
可以block（即阻塞过滤）某个源ip地址，某个源mac地址，关于某个ip地址的arp response报文，某个源ip地址和关于某个ip地址的arp response报文的组合。
switch_config_f0/1#switchport port-security block ?
ip -- config the function for ip packet
mac -- config mac address
arp -- config the function for arp packet
在网络实际环境中，攻击和欺骗行为主要针对链路层和网络层，其来源可概括为两个途径：人为实施；病毒或蠕虫。人为实施通常是指使用一些黑客的工具对网络进行扫描和嗅探，获取管理帐户和相关密码，在网络上中安插木马，从而进行进一步窃取机密文件。攻击和欺骗过程往往比较隐蔽和安静，但对于信息安全要求高的企业危害是极大的。而来自木马或者病毒及蠕虫的攻击和往往会偏离攻击和欺骗本身的目的，现象有时非常直接，会带来网络流量加大、设备 cpu 利用率过高、二层生成树环路直至网络瘫痪。
目前这类攻击和欺骗工具已经非常成熟和易用，而目前很多单位在部署这方面的防范还存在很多不足，有很多工作要做。博达针对这类攻击已有较为成熟的解决方案，主要基于下面的几个关键的技术：
u switchport port security feature
u dhcp snooping功能
u 动态arp inspection（dai）
u 源ip检测防护功能（ip source guard）
u 防arp欺骗攻击、防dhcp欺骗攻击、防igmp攻击（filter arp，filter dhcp，filter igmp）
u 访问列表控制技术〔mac acl、ip（tcp/udp）acl〕
u 组播、广播风暴抑制（storm-control）
在mac/cam攻击的原理和危害方面：交换机主动学习客户端的 mac 地址，并建立和维护端口和 mac 地址的对应表以此建立交换路径，这个表就是通常我们所说的 cam 表。cam 表的大小是固定的，不同的交换机的cam 表大小不同。mac/cam 攻击是指利用工具产生欺骗 mac，快速填满cam 表，交换机cam 表被填满后，交换机以广播方式处理通过交换机的报文，这时攻击者可以利用各种嗅探攻击获取网络信息。cam 表满了后，流量以洪泛方式发送到所有接口，也就代表trunk 接口上的流量也会发给所有接口和邻接交换机，会造成交换机负载过大，网络缓慢和丢包甚至瘫痪。
博达交换机port security feature 可以防止mac和mac/cam攻击。通过配置port security可以控制：
端口上学习或通过哪些ip地址或mac 地址 ；端口上学习或通过哪些 mac 地址，可以通过静态手工定义，也可以在交换机自动学习。交换机动态学习端口 mac ，直到指定的 mac 地址数量，交换机关机后重新学习。
port-security配置
bind：绑定，允许；
block：阻塞，禁止。
switch_config_f0/1#switchport port-security ?
bind -- config ip address binding with mac address on current port
block -- block ip with mac address on current port
（1） 端口bind绑定功能
（源ip、源mac、源ip-mac、关于某个ip地址的arp response）
switch_config_f0/1#switchport port-security bind ?
ip -- config the function for ip packet
mac -- config mac address
arp -- config the function for arp packet
both-arp-ip -- config the ip address for both arp-ip packet
（2）端口block功能
可以block（即阻塞过滤）某个源ip地址，某个源mac地址，关于某个ip地址的arp response报文，某个源ip地址和关于某个ip地址的arp response报文的组合。
switch_config_f0/1#switchport port-security block ?
ip -- config the function for ip packet
mac -- config mac address
arp -- config the function for arp packet
相关技术资料- 6-28新一代骁龙8系列旗舰芯片应用研究
- 6-28有源高通滤波器(RC4558DN)应用详解
- 6-28WTC6216触摸式按键设计应用探究
- 6-28中嵌入式存储器ASIC和SoC设计特点优势
- 6-2816V、8A Silent Switcher μModule稳压器
- 6-28集成匹配滤波芯片STM32WL33
- 6-27高效率2.5KW空调电源ICE3PCS01G
- 6-27PFC 控制与电流模式 LLC 二合一数字控制器
- 6-27电感单片降压开关模式变换器MPM3812C
- 6-27隔离式、双输入半桥栅极驱动器应用探究
- 6-27STEVAL-ROBKIT1机器人应用方案
- 6-27集成电流到电压转换和模数 (A/D) 转换
- 相关IC型号
公网安备44030402000607
