网络安全高级工程师 作者 程庆梅 6.认识并防御园区网欺骗及协议攻击.pptVIP

根周期（2秒）发送BPDU 其他交换机状态改变时发送“状态改变BPDU” 最大生存周期20秒，防震荡 根一旦发送配置BPDU，将引起全体交换机重新计算形态 生成树协议运行关键点 构造正常的生成树BPDU报文 每隔2秒钟发送一次，发送10次（20秒） 引起全体交换机的重新计算 结果：网络正常连通性受到影响 生成树协议攻击思路之一 ICMP重定向问题及解决方案 重定向原理 恶意重定向报文发送给主机后 引起主机数据包路由指向的变化，引起数据窃听危险、连通性问题等 重定向的问题 B:恶意窃听 A:正常用户 1.重定向发往某互联网站点的路由至B的IP 2.更新到达站点的主机路由后，将所有后续数据发往B 基于UDP协议的攻击及防范 UDP洪泛是一类典型的拒绝服务攻击，UDP洪水攻击，或者叫UDP Flood，主要是利用大量UDP报文，冲击目标IP地址，有时候可能会把目标服务器打瘫，但是更多时候是把服务器的带宽堵死了。 在PC中安装适当的防攻击软件并启动会减少这类攻击产生的影响，但对整个网络的流量依然会造成一定的影响，因此在交换机中增加对大流量数据的监控和端口流量控制动作将起到保护网络带宽的效果。 安装一台DHCP服务器 攻击机器发动向DHCP服务器的67或68端口攻击 从另一个dhcp客户端测试地址重新获取情况 适当捕获数据包进行分析 UDP洪水攻击实践思路 本章实训 1.MAC-PORT绑定 MAC-port绑定 得到PC1主机的mac地址 switch(Config)#interface vlan 1 switch(Config-If-Vlan1)#ip address 1 switch(Config-If-Vlan1)#no shut switch(Config-If-Vlan1)#exit C:\ipconfig/all 交换机全部恢复出厂设置，配置交换机的IP地址 使能端口的MAC地址绑定功能 switch(Config)#interface ethernet 0/0/1 switch(Config-Ethernet0/0/1)#switchport port-security 添加端口静态安全MAC地址，缺省端口最大安全MAC地址数为1 switch(Config-Ethernet0/0/1)#switchport port-security mac-address 00-a0-d1-d1-07-ff MAC-port绑定 验证配置： switch#show port-security Security Port MaxSecurityAddr CurrentAddr Security Action (count) (count) --------------------------------------------------------------------------- Ethernet0/0/1 1 1 Protect --------------------------------------------------------------------------- Max Addresses limit per port :128 Total Addresses in System :1 switch# switch#show port-security address Security Mac Address Table --------------------------------------------------------------------------- Vlan Mac Address Type Ports 1 00-a0-d1-d1-07-ff SecurityConfigured Ethernet0/0/1 --------------------------------------------------------------------------- Total Addresses in System :1 Max Addresses limit in System :128 switch# 在一个以太口上静态捆绑多个MAC Switch(Config-Ethernet0/0/1)#switchport port-security