宽带接入网常见的攻击及防范
79 浏览量
2020-10-25
21:05:04
上传
评论
收藏 93KB PDF 举报
宽带接入网常见的攻击及防范宽带接入网常见的攻击及防范
电信级IP技术的发展成熟使得话音、数据、视频和移动等应用的融合成为必然，统一通讯已成为发展的趋势。
以IP技术为核心进行网络改造并承载多种新型业务以提升竞争力，是固网运营商的发展方向。而以太网技术由
于标准化程度高、应用广泛、带宽提供能力强、扩展性良好、技术成熟，设备性价比高，对IP的良好支持，成
为城域网和接入网的发展趋势。但是，由于以太网技术的开放性和其应用广泛，也带来了一些安全上的问题。
特别是当
电信级IP技术的发展成熟使得话音、数据、视频和移动等应用的融合成为必然，统一通讯已成为发展的趋势。以IP技术为核心
进行网络改造并承载多种新型业务以提升竞争力，是固网运营商的发展方向。而
目前接入网常见的攻击包括ARP“中间人“攻击、IP/MAC欺骗攻击、DHCP/ARP报文泛洪攻击等。
ARP“中间人中间人”攻击攻击
按照ARP协议的设计，一个主机即使收到的ARP应答并非自身请求得到的，也会将其IP地址和MAC地址的对应关系添加到自
身的ARP映射表中。这样可以减少网络上过多的ARP数据通信，但也为“ARP欺骗”创造了条件。
如下图示，Host A和Host C通过Switch进行通信。此时，如果有黑客(Host B)想探听Host A和Host C之间的通信，它可以分别
给这两台主机发送伪造的ARP应答报文，使Host A和Host C用MAC_B更新自身ARP映射表中与对方IP地址相应的表项。此
后，Host A 和Host C之间看似“直接”的通信，实际上都是通过黑客所在的主机间接进行的，即Host B担当了“中间人”的角色，
可以对信息进行了窃取和篡改。这种攻击方式就称作“中间人(Man-In-The-Middle)攻击”。
IP/MAC欺骗攻击欺骗攻击
常见的欺骗种类有MAC欺骗、IP欺骗、IP/MAC欺骗，黑客可以伪造报文的源地址进行攻击，其目的一般为伪造身份或者获取
针对IP/MAC的特权，另外此方法也被应用于DoS(Deny of Service，拒绝服务)攻击，严重的危害了网络安全。
为了防止IP/MAC欺骗攻击，H3C低端以太网交换机提供了IP过滤特性，开启该功能后，交换机可以强制经过某一端口流量的
源地址符合动态获取的DHCPSnooping表项或静态配置的IP与MAC绑定表项的记录，防止攻击者通过伪造源地址来实施攻
击。此外，该功能也可以防止用户随便指定IP地址，造成的网络地址冲突等现象。
DHCP报文泛洪攻击报文泛洪攻击
DHCP报文泛洪攻击是指：恶意用户利用工具伪造大量DHCP报文发送到服务器，一方面恶意耗尽了IP资源，使得合法用户无
法获得IP资源;另一方面,如果交换机上开启了DHCP Snooping功能，会将接收到的DHCP报文上送到CPU。因此大量的DHCP
报文攻击设备会使DHCP服务器高负荷运行，甚至会导致设备瘫痪。
ARP报文泛洪攻击报文泛洪攻击
ARP报文泛洪类似DHCP泛洪，同样是恶意用户发出大量的ARP报文，造成L3设备的ARP表项溢出，影响正常用户的转发。
安全防范安全防范
对于上述的几种攻击手段，H3C接入网解决方案在用户接入侧利用DHCP SNOOPING，提供相应的防范手段。
DHCP Snooping表项的建立表项的建立
开启DHCP Snooping功能后，H3C接入交换机根据设备的不同特点可以分别采取监听DHCP-REQUEST广播报文和DHCP-
ACK单播报文的方法来记录用户获取的IP地址等信息。目前，交换机的DHCP
Snooping表项主要记录的信息包括：分配给客户端的IP地址、客户端的MAC地址、VLAN信息、端口信息、租约信息。
电信级IP技术的发展成熟使得话音、数据、视频和移动等应用的融合成为必然，统一通讯已成为发展的趋势。以IP技术为核心
进行网络改造并承载多种新型业务以提升竞争力，是固网运营商的发展方向。而以太网技术由于标准化程度高、应用广泛、带
宽提供能力强、扩展性良好、技术成熟，设备性价比高，对IP的良好支持，成为城域网和接入网的发展趋势。但是，由于以太
网技术的开放性和其应用广泛，也带来了一些安全上的问题。特别是当网络由原有的单业务承载转为多业务承载时，安全问题
带来的影响愈发明显，已经逐步影响到业务的开展和部署。
目前接入网常见的攻击包括ARP“中间人“攻击、IP/MAC欺骗攻击、DHCP/ARP报文泛洪攻击等。
网络攻击网络攻击
ARP“中间人中间人”攻击攻击
按照ARP协议的设计，一个主机即使收到的ARP应答并非自身请求得到的，也会将其IP地址和MAC地址的对应关系添加到自
身的ARP映射表中。这样可以减少网络上过多的ARP数据通信，但也为“ARP欺骗”创造了条件。
如下图示，Host A和Host C通过Switch进行通信。此时，如果有黑客(Host B)想探听Host A和Host C之间的通信，它可以分别
给这两台主机发送伪造的ARP应答报文，使Host A和Host C用MAC_B更新自身ARP映射表中与对方IP地址相应的表项。此
后，Host A 和Host C之间看似“直接”的通信，实际上都是通过黑客所在的主机间接进行的，即Host B担当了“中间人”的角色，
可以对信息进行了窃取和篡改。这种攻击方式就称作“中间人(Man-In-The-Middle)攻击”。
IP/MAC欺骗攻击欺骗攻击
常见的欺骗种类有MAC欺骗、IP欺骗、IP/MAC欺骗，黑客可以伪造报文的源地址进行攻击，其目的一般为伪造身份或者获取
资源评论
weixin_38664469
- 粉丝: 5
- 资源: 896
