信息资源管理

常见攻击及防御技术详解,专业人士必知(基础篇)

发布于:2023-05-18 点击量:987 来源:

1、前言

随着互联网的不断发展,TCP/IP协议簇成为使用最广泛的网络互连协议。但由于协议设计之初主要应用于研究环境,针对少量、可信的用户群体,网络安全问题不是主要的考虑因素,对安全考虑得不够,导致协议存在着一些安全风险问题。从本篇开始,带领大家一同了解下常见的网络攻击方式和防御手段。

2、MAC地址泛洪

2.1 攻击原理

交换机收到数据帧后会基于源MAC地址进行学习,形成MAC地址表后便可基于目的MAC查表转发;如果可以查到则单播转发,如果查不到则在VLAN内泛洪转发。基于此,攻击者向局域网内发生大量伪造MAC地址的数据帧,试图占满交换机的MAC地址转发表。由于表项都具有一定的空间限制,当MAC地址表被占满后,就无法学习到新的MAC地址。

2.2 防御原理

基于端口或者基于VLAN来限制MAC地址学习数量,可有效防止MAC地址表项被占满。当MAC地址数量达到上限时可根据需要采取不学习且丢弃、不学习但转发等不同策略。

3、MAC地址欺骗

3.1 攻击原理

相比MAC地址泛洪攻击,MAC地址欺骗攻击则显得更加隐蔽。MAC地址欺骗攻击不会发送大量数据帧,而是发送含有几个特定源MAC地址(正常用户的MAC地址)的数据帧,误导交换机认为自己是网络中的另一台主机,从而将本该发送给正常用户的数据帧发给了攻击者。

3.2 防御原理

基于源MAC地址学习时增加优先级选项,对于不同接口学习到相同MAC地址时,高优先级接口的MAC地址表项可以覆盖低优先级接口的MAC地址表项。基于此,可将连接正常用户接口的优先级配置为最高优先级,以此防范MAC地址欺骗攻击。

4、IP地址冒用

4.1 攻击原理

IP地址冒用是指攻击者使用自己的MAC地址,但是冒用他人的IP地址进行通信,以获取被攻击者的权限或者本应发送给被攻击者的报文。

4.2 攻击示例

如图1所示,展示了一个IP地址冒用攻击示例。

图1 IP地址冒用攻击示例

4.3 防御原理

建立一个地址绑定表用于记录IP地址和MAC地址的对应关系;

收到IP报文后,提取报文头中的源IP地址查找绑定表中对应的MAC地址,并且与帧头部包含的实际源MAC地址进行比较;

如果两者不一致,则认为该报文是非法报文,并将其丢弃;

对于源IP地址不在地址绑定表中的报文,会直接通过IP-MAC绑定检查。

5、ARP欺骗

5.1 攻击原理

ARP欺骗是指攻击者冒用他人的MAC地址发送ARP报文,同样可以获取到本应发送给被攻击者的报文;或者冒用网关的MAC地址,使网络内所有主机都将报文发给自己。

5.2 攻击示例

如图2所示,展示了一个ARP欺骗攻击示例。

5.3 防御原理

同“3.3 防御原理”。

6、URPF

6.1 攻击原理

基于源IP地址欺骗发起网络攻击。

6.2 攻击示例

如图3所示,展示了一个基于源IP地址欺骗攻击示例,非法用户发起的这种伪造报文对服务器以及合法用户都造成了攻击。

6.3 防御原理

URPF(Unicast Reverse Path Forwarding)即单播逆向路径转发,其主要功能是防止基于源地址欺骗的网络攻击行为。

一般情况下,路由设备接收到报文,获取报文的目的IP地址,针对目的IP地址查找路由表,如果找到了就转发报文,否则丢弃该报文。而URPF对此流程进行了完善,对于严格模式:

获取报文的源IP地址和入接口信息,在路由表中查找源IP地址对应的接口是否与入接口匹配;

如果匹配,则认为源IP地址是真实的,继续转发该报文;

如果不匹配,则认为源IP地址是虚假的,直接丢弃该报文。

对于松散模式:

获取报文的源IP地址和入接口信息,在路由表中查找源IP地址是否存在路由表项;

如果存在,则认为源IP地址是真实的,继续转发该报文;

如果不存在,则认为源IP地址是虚假的,直接丢弃该报文。

通过这种方式,URPF能够有效地防范网络中通过修改报文源IP地址而进行恶意攻击行为。

7、结语

网络安全是一片没有硝烟的战场,攻防博弈,此消彼长。知己知彼者,百战不怠,要想成功防御攻击必须先清楚攻击原理。本期内容就到这里,更多攻防技术下期见!

【版权声明】:本站内容来自于与互联网(注明原创稿件除外),如文章或图像侵犯到您的权益,请及时告知,我们第一时间删除处理!