經(jīng)常見的攻擊ARP“中間人”攻擊、IP/MAC欺騙攻擊、DHCP/ARP報(bào)文泛洪攻擊

電信級(jí)IP技術(shù)的發(fā)展成熟使得話音、數(shù)據(jù)、視頻和移動(dòng)等應(yīng)用的融合成為必然， 統(tǒng)一通訊已成為發(fā)展的趨勢(shì)。 以IP技術(shù)為核心進(jìn)行網(wǎng)絡(luò)改造并承載多種新型業(yè)務(wù)以提升競(jìng)爭(zhēng)力， 是固網(wǎng)運(yùn)營(yíng)商的發(fā)展方向。 而以太網(wǎng)技術(shù)由于標(biāo)準(zhǔn)化程度高、應(yīng)用廣泛、帶寬提供能力強(qiáng)、擴(kuò)展性良好、技術(shù)成熟， 設(shè)備性價(jià)比高， 對(duì)IP的良好支持， 成為城域網(wǎng)和接入網(wǎng)的發(fā)展趨勢(shì)。 但是， 由于以太網(wǎng)技術(shù)的開放性和其應(yīng)用廣泛， 也帶來(lái)了一些安全上的問(wèn)題。 特別是當(dāng)網(wǎng)絡(luò)由原有的單業(yè)務(wù)承載轉(zhuǎn)為多業(yè)務(wù)承載時(shí)， 安全問(wèn)題帶來(lái)的影響愈發(fā)明顯， 已經(jīng)逐步影響到業(yè)務(wù)的開展和部署。

　　目前接入網(wǎng)常見的攻擊包括ARP“中間人”攻擊、IP/MAC欺騙攻擊、DHCP/ARP報(bào)文泛洪攻擊等。

　　網(wǎng)絡(luò)攻擊

　　ARP“中間人”攻擊

　　按照ARP協(xié)議的設(shè)計(jì)， 一個(gè)主機(jī)即使收到的ARP應(yīng)答并非自身請(qǐng)求得到的， 也會(huì)將其IP地址和MAC地址的對(duì)應(yīng)關(guān)系添加到自身的ARP映射表中。 這樣可以減少網(wǎng)絡(luò)上過(guò)多的ARP數(shù)據(jù)通信， 但也為“ARP欺騙”創(chuàng)造了條件。

　　如下圖示， Host A和Host C通過(guò)Switch進(jìn)行通信。 此時(shí)， 如果有黑客(Host B)想探聽Host A和Host C之間的通信， 它可以分別給這兩臺(tái)主機(jī)發(fā)送偽造的ARP應(yīng)答報(bào)文， 使Host A和Host C用MAC_B更新自身ARP映射表中與對(duì)方IP地址相應(yīng)的表項(xiàng)。 此后， Host A 和Host C之間看似“直接”的通信， 實(shí)際上都是通過(guò)黑客所在的主機(jī)間接進(jìn)行的， 即Host B擔(dān)當(dāng)了“中間人”的角色， 可以對(duì)信息進(jìn)行了竊取和篡改。 這種攻擊方式就稱作“中間人(Man-In-The-Middle)攻擊”。

　　常見的欺騙種類有MAC欺騙、IP欺騙、IP/MAC欺騙， 黑客可以偽造報(bào)文的源地址進(jìn)行攻擊， 其目的一般為偽造身份或者獲取針對(duì)IP/MAC的特權(quán)， 另外此方法也被應(yīng)用于DoS( Deny of Service， 拒絕服務(wù))攻擊， 嚴(yán)重的危害了網(wǎng)絡(luò)安全。

　　ARP入侵檢測(cè)功能

　　ARP入侵檢測(cè)功能工作機(jī)制

　　為了防止IP/MAC欺騙攻擊， H3C低端以太網(wǎng)交換機(jī)提供了IP過(guò)濾特性， 開啟該功能后， 交換機(jī)可以強(qiáng)制經(jīng)過(guò)某一端口流量的源地址符合動(dòng)態(tài)獲取的DHCP Snooping表項(xiàng)或靜態(tài)配置的IP與MAC綁定表項(xiàng)的記錄， 防止攻擊者通過(guò)偽造源地址來(lái)實(shí)施攻擊。 此外， 該功能也可以防止用戶隨便指定IP地址， 造成的網(wǎng)絡(luò)地址沖突等現(xiàn)象。

　　DHCP報(bào)文泛洪攻擊

　　DHCP報(bào)文泛洪攻擊是指：惡意用戶利用工具偽造大量DHCP報(bào)文發(fā)送到服務(wù)器， 一方面惡意耗盡了IP資源， 使得合法用戶無(wú)法獲得IP資源;另一方面， 如果交換機(jī)上開啟了DHCP Snooping功能， 會(huì)將接收到的DHCP報(bào)文上送到CPU.因此大量的DHCP報(bào)文攻擊設(shè)備會(huì)使DHCP服務(wù)器高負(fù)荷運(yùn)行， 甚至?xí)��?dǎo)致設(shè)備癱瘓。

　　ARP報(bào)文泛洪攻擊

　　ARP報(bào)文泛洪類似DHCP泛洪， 同樣是惡意用戶發(fā)出大量的ARP報(bào)文， 造成L3設(shè)備的ARP表項(xiàng)溢出， 影響正常用戶的轉(zhuǎn)發(fā)。

　　安全防范

　　對(duì)于上述的幾種攻擊手段， H3C接入網(wǎng)解決方案在用戶接入側(cè)利用DHCP SNOOPING， 提供相應(yīng)的防范手段。

　　DHCP Snooping表項(xiàng)的建立

　　開啟DHCP Snooping功能后， H3C接入交換機(jī)根據(jù)設(shè)備的不同特點(diǎn)可以分別采取監(jiān)聽DHCP-REQUEST廣播報(bào)文和DHCP-ACK單播報(bào)文的方法來(lái)記錄用戶獲取的IP地址等信息。 目前， 交換機(jī)的DHCP Snooping表項(xiàng)主要記錄的信息包括：分配給客戶端的IP地址、客戶端的MAC地址、VLAN信息、端口信息、租約信息。

　　為了防止ARP中間人攻擊， 接入交換機(jī)支持將收到的ARP(請(qǐng)求與回應(yīng))報(bào)文重定向到CPU， 結(jié)合DHCP Snooping安全特性來(lái)判斷ARP報(bào)文的合法性并進(jìn)行處理， 具體如下。

　　當(dāng)ARP報(bào)文中的源IP地址及源MAC地址的綁定關(guān)系與DHCP Snooping表項(xiàng)或者手工配置的IP靜態(tài)綁定表項(xiàng)匹配， 且ARP報(bào)文的入端口及其所屬VLAN與DHCP Snooping表項(xiàng)或者手工配置的IP靜態(tài)綁定表項(xiàng)一致， 則為合法ARP報(bào)文， 進(jìn)行轉(zhuǎn)發(fā)處理。

　　當(dāng)ARP報(bào)文中的源IP地址及源MAC地址的綁定關(guān)系與DHCP Snooping表項(xiàng)或者手工配置的IP靜態(tài)綁定表項(xiàng)不匹配， 或ARP報(bào)文的入端口， 入端口所屬VLAN與DHCP Snooping表項(xiàng)或者手工配置的IP靜態(tài)綁定表項(xiàng)不一致， 則為非法ARP報(bào)文， 直接丟棄， 并通過(guò)Debug打印出丟棄信息提示用戶。

　　手工配置IP靜態(tài)綁定表項(xiàng)

　　DHCP Snooping表只記錄了通過(guò)DHCP方式動(dòng)態(tài)獲取IP地址的客戶端信息， 如果用戶手工配置了固定IP地址， 其IP地址、MAC地址等信息將不會(huì)被DHCP Snooping表記錄， 因此不能通過(guò)基于DHCP Snooping表項(xiàng)的ARP入侵檢測(cè)， 導(dǎo)致用戶無(wú)法正常訪問(wèn)外部網(wǎng)絡(luò)。

　　為了能夠讓這些擁有合法固定IP地址的用戶訪問(wèn)網(wǎng)絡(luò)， 交換機(jī)支持手工配置IP靜態(tài)綁定表的表項(xiàng)， 即：用戶的IP地址、MAC地址及連接該用戶的端口之間的綁定關(guān)系。 以便正常處理該用戶的報(bào)文。

　　ARP信任端口設(shè)置

　　由于實(shí)際組網(wǎng)中， 交換機(jī)的上行口會(huì)接收其他設(shè)備的請(qǐng)求和應(yīng)答的ARP報(bào)文， 這些ARP報(bào)文的源IP地址和源MAC地址并沒(méi)有在DHCP Snooping表項(xiàng)或者靜態(tài)綁定表中。 為了解決上行端口接收的ARP請(qǐng)求和應(yīng)答報(bào)文能夠通過(guò)ARP入侵檢測(cè)問(wèn)題， 交換機(jī)支持通過(guò)配置ARP信任端口， 靈活控制ARP報(bào)文檢測(cè)功能。 對(duì)于來(lái)自信任端口的所有ARP報(bào)文不進(jìn)行檢測(cè)， 對(duì)其它端口的ARP報(bào)文通過(guò)查看DHCP Snooping表或手工配置的IP靜態(tài)綁定表進(jìn)行檢測(cè)。