解決網(wǎng)絡(luò)中常見(jiàn)的ARP攻擊行為:Address Resolution Protocol攻擊是一種非常惡劣的網(wǎng)絡(luò)攻擊行為,他會(huì)造成網(wǎng)絡(luò)不穩(wěn)定,引發(fā)用戶(hù)無(wú)法上網(wǎng)或者企業(yè)斷網(wǎng)導(dǎo)致重大生產(chǎn)事故,而且利用Address Resolution Protocol 攻擊還可能會(huì)通過(guò)進(jìn)一步實(shí)施攻擊來(lái)非法獲取游戲、網(wǎng)銀、文件服務(wù)等系統(tǒng)的帳號(hào)和口令,使被攻擊者造成利益上的重大損失。
所以,怎么樣才能解決網(wǎng)絡(luò)中常見(jiàn)的Address Resolution Protocol攻擊行為呢?下面給大家介紹種H3C提出的較為完整的解決方案。
如圖4所示,Address Resolution Protocol攻擊防范技術(shù)的思路是以設(shè)備角色為線索,通過(guò)分析二三層網(wǎng)絡(luò)設(shè)備可能會(huì)面對(duì)哪些類(lèi)型的攻擊,從而提供有效的防范措施。
攻擊源一般來(lái)自于主機(jī)側(cè),因此接入交換機(jī)在Address Resolution Protocol攻擊防范中是一個(gè)關(guān)鍵的控制點(diǎn)。針對(duì)攻擊的特點(diǎn),接入交換機(jī)上的防范主要從兩個(gè)方面考慮:
建立正確的 Address Resolution Protocol 映射關(guān)系、檢測(cè)并過(guò)濾偽造的 Address Resolution Protocol 報(bào)文,保證經(jīng)過(guò)其轉(zhuǎn)發(fā)的 ARP報(bào)文正確合法。
抑制短時(shí)間內(nèi)大量 Address Resolution Protocol報(bào)文的沖擊。
由于防范措施部署在接入側(cè),因此無(wú)需在網(wǎng)關(guān)上部署,可以減輕網(wǎng)關(guān)負(fù)擔(dān)。
如果接入交換機(jī)上不支持Address Resolution Protocol攻擊防范功能,或者主機(jī)直接接入網(wǎng)關(guān),則需要在網(wǎng)關(guān)上部署防范措施,部署思路從兩個(gè)方面考慮:
建立正確的 Address Resolution Protocol表項(xiàng),防止攻擊者修改。
抑制短時(shí)間內(nèi)大量 ARP報(bào)文或者需觸發(fā) Address Resolution Protocol解析的 IP報(bào)文的沖擊。
直接在網(wǎng)關(guān)上進(jìn)行部署對(duì)接入交換機(jī)的依賴(lài)較小,可以較好的支持現(xiàn)有網(wǎng)絡(luò),有效地保護(hù)用戶(hù)投資。