攻击防御ARP、IP欺骗及内外网流量攻击.doc

防御ARP、 IP欺骗及内外网流量攻击教育资源库

近期网络攻击势头越来越猛最近很多用户宽带接入持续遭受攻击影响。 出现状况的不仅是以前常受到攻击的网吧很多企业遭受到攻击影响的案例也越来越多。

最近常发生的攻击可分为四大类别分别为 ARP攻击、 内网IP欺骗、 内网攻击、及外网流量攻击四种不同型式。

ARP攻击

ARP攻击自2006年起就开始普及。一开始ARP攻击是伪装成网关IP转发讯息盗取用户名及密码不会造成掉线。早期的ARP攻击只会造成封包的遗失或是P ing值提高并不会造成严重的掉线或是大范围掉线。

在这个阶段防制的措施是以ARP ECHO指令方式可以解决只是为了盗宝为目的传统ARP攻击。对于整体网络不会有影响。

但是在ARP ECHO的解决方法提出后 ARP攻击出现变本加厉的演变。新的攻击方式使用更高频率的ARP ECHO压过用户的ARP ECHO广播。 由于发出广播包的次数太多 因此会使整个局域网变慢或占用网关运算能力发生内网很慢或上网卡的现象。如果严重时经常发生瞬断或全网掉线的情况。

要解决这种较严重的ARP攻击到现在为止最简单有效的方法仍属于双向绑定方式可以有效地缩小影响层面。近来有不同解决方法提出例如从路由器下载某个imf文件更改网络堆栈但效果有限。有些解决方式则在用户与网关间建立PPPoE联机不但配置功夫大还耗费运算能力。虽然方法不但大致都可以防制ARP的攻击。

内网IP欺骗

内网IP欺骗是在ARP攻击普及后另一个紧随出现的攻击方式。攻击计算机会伪装成一样的IP让受攻击的计算机产生IP冲突无法上网。这种攻击现象通常影响的计算机有限不致出现大规模影响。

内网IP欺骗采用双向绑定方式可以有效解决。先作好绑定配置的计算机不会受到后来的伪装计算机的影响。因此等于一次防制ARP及内网IP欺骗解决。若是采用其它的ARP防制方法则要采用另外的方法来应对。

内网攻击

内网攻击是从内网计算机发出大量网络包 占用内网带宽。 网管会发现内网很慢 P ing路由掉包不知是那一台影响的。 内网攻

击通常是用户安装了外挂变成发出攻击的计算机。有的内网攻击会自行变换IP让网管更难找出是谁发出的网络包。

解决方案是从路由器判别阻断发出网络包计算机的上网能力。 因此用户会发现如果用攻击程序测试立刻就发生掉线的情况这就是因为被路由器认定为发出攻击计算机 自动被切断所致。正确的测试方法是用两台测试一台发出攻击包给路由器另一台看是否能上网。对于内网攻击另外的防制措施是采用联防的交换机直接把不正常计算机的实体联机切断不过具备联防能力交换机的成本较高甚至比路由器还贵。

外网流量攻击

外网攻击是从外部来的攻击通常发生在使用固定IP的用户。很多网吧因为使用固定IP的光纤很容易就成为外网攻击的目标。同时又因为外网攻击经常持续变换IP也不容易加以阻绝或追查。它的现象是看内网流量很正常但是上网很慢或上不了观看路由器的广域网流量则发现下载的流量被占满造成宽带接入不顺畅。

外网流量攻击可以用联机数加以辅助判断但是不容易解决。有些地区可以要求ISP更换IP但过几天后就又来攻击了。有些用户搭配多条动态IP拨接的ADS L备援动态IP就较不易成为攻击的目标。外网流量攻击属于犯法行为可通知ISP配合执法单位追查但现在看起来效果并不大。外网流量攻击成为现在是最难处理的攻击。

小结

其实只要静下心来按照以上说明寻找相关的现象找出原因 网络攻击并不是不能解决的。

友情提醒 特别