книги хакеры / Trabelsi_Setevye-ataki-i-zashchita_RuLit_Me_676546
.pdf
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-xcha |
|
|
|
|
||
Abnormal ARP Traffic Detection and Prevention
|
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
|
X |
|
|
|
|
|
|||
|
|
- |
|
|
|
|
|
d |
|
||
|
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
r |
|||
P |
|
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
|
to |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
w |
81 |
|
|
|
|
|
m |
||||
w Click |
|
|
|
|
|
o |
|||||
|
w |
|
|
|
|
|
|
|
|
||
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
|
-x cha |
|
|
|
|
||
пары IP-адресов и MAC-адресов назначения не повреждают кэши ARP целевых хостов. Однако механизм «Ошибки валидации IP» позволяет проверять заголовок ARP на наличие недопустимых и неожиданных
IP-адресов, таких как IP-адрес «255.255.255.255».
На следующем снимке экрана показан сгенерированный выше ненормальный ответный пакет ARP с использованием CommView Visual
Packet Builder.
После введения вышеуказанного ненормального пакета ответа ARP в сеть коммутатор Cisco отбрасывает пакет. Чтобы отобразить статистику о потерянных пакетах ARP, введите следующую команду:
Switch# show ip arp inspection statistics vlan 1
Вот снимок экрана, показывающий, что сгенерированный ненормальный ответный пакет ARP был отброшен механизмом Cisco «IP Validation Failures», потому что он содержит недопустимый IPадрес назначения.
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|
|||
|
|
X |
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
|
||
|
F |
|
|
|
|
|
|
t |
|
||
|
D |
|
|
|
|
|
|
|
i |
r |
|
P |
|
|
|
|
|
NOW! |
o |
||||
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|
|||
|
|
|
|
to |
82 |
|
|
||||
|
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
m |
|||||
w Click |
|
|
|
|
|
|
o |
||||
|
w |
|
|
|
|
|
|
|
|
|
|
|
. |
|
|
|
|
|
.c |
|
|||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
|
||
|
|
|
|
-xcha |
|
|
|
|
|
||
Network Attacks and Defenses: A Hands-on Approach
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
3.6 Лабораторная работа 3.3. Предотвращение аномального трафика ARP с использованием проверки динамического ARP и отслеживания
DHCP для среды DHCP
3.6.1 Результат
Цель данного практического упражнения - научить студентов генерировать и предотвращать ненормальный трафик ARP с помощью функций проверки Dynamic ARP Inspection и DHCP Snooping для среды
DHCP в локальной сети.
3.6.2 DHCP Snooping (отслеживание DHCP)
В сетевой среде DHCP серверы DHCP автоматически назначают IP-адреса узлам, подключенным к сети, из определенного диапазона IP-адресов. Это очень часто используется в призовых сетях для сокращения усилий по настройке.
В среде DHCP функция безопасности Dynamic ARP Inspection в коммутаторах Cisco позволяет определять достоверность пакетов ARP на основе действительных привязок IP-MAC-адресов, хранящихся в доверенной базе данных, базе данных привязки отслеживания DHCP. Эта база данных построена с помощью механизма, называемого DHCP
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-xcha |
|
|
|
|
||
Abnormal ARP Traffic Detection and Prevention
|
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
|
X |
|
|
|
|
|
|||
|
|
- |
|
|
|
|
|
d |
|
||
|
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
r |
|||
P |
|
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
|
to |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
w |
|
83 |
|
|
|
|
|
m |
|||
w Click |
|
|
|
|
|
o |
|||||
|
w |
|
|
|
|
|
|
|
|
||
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
|
-x cha |
|
|
|
|
||
snooping (отслеживание DHCP). Когда пакет ARP получен на доверенном интерфейсе, коммутатор передает пакет без какой-либо проверки. На ненадежных интерфейсах коммутатор пересылает пакет, только если он действителен.
3.6.3 Эксперимент
В следующем эксперименте описывается, как предотвратить ненормальные пакеты ARP с помощью Dynamic ARP Inspection и DHCP snooping для среды DHCP в локальной сети.
Эксперимент состоит из следующих этапов:
Шаг 1. Включите отслеживание DHCP.
Шаг 2: Настройте проверку динамического ARP для среды DHCP. Шаг 3: Генерация и предотвращение ненормальных пакетов ARP.
3.6.3.1 Архитектура сети
Архитектура сети, использованная в эксперименте, показана на следующем рисунке. Два хоста подключены к коммутатору Cisco Catalyst 3560 через два ненадежных порта. Третий хост размещает DHCP-сервер. Пользователь может использовать любое доступное программное обеспечение DHCP-сервера. В этом эксперименте используется инструмент DHCP Turbo Server.
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|
|||
|
|
X |
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
|
||
|
F |
|
|
|
|
|
|
t |
|
||
|
D |
|
|
|
|
|
|
|
i |
r |
|
P |
|
|
|
|
|
NOW! |
o |
||||
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|
|||
|
|
|
|
to |
84 |
|
|
||||
|
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
m |
|||||
w Click |
|
|
|
|
|
|
o |
||||
|
w |
|
|
|
|
|
|
|
|
|
|
|
. |
|
|
|
|
|
.c |
|
|||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
|
||
|
|
|
|
-xcha |
|
|
|
|
|
||
Network Attacks and Defenses: A Hands-on Approach
3.6.3.2 Шаг 1. Включите отслеживание DHCP
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
Чтобы включить отслеживание DHCP и настроить порт коммутатора Cisco Catalyst 3560, к которому подключен сервер DHCP, в качестве доверенного порта (по умолчанию порты коммутатора ненадежны), необходимо выполнить следующие действия:
*Подключите хост A к консольному порту на коммутаторе.
*Запустите настройку с помощью инструмента HyperTerminal (дополнительную информацию об использовании инструмента HyperTerminal см. В главе 1).
*Введите следующие команды:
Switch>enable//введите команду enable для доступа в привилегированный режим EXEC Switch#configure terminal//войти в режим глобальной конфигурации
Switch(config)#ip dhcp snooping//включить DHCP,
отслеживающий глобально
Switch(config)#ip dhcp snooping vlan 1//включить отслеживание DHCP на VLAN 1 Switch(config)#interface FastEthernet 0/1//войти в режим настройки интерфейса для интерфейса
FastEthernet 0/1(Port#1) Switch(config-if)#ip dhcp snooping trust//
настроить интерфейс как доверенный. По умолчанию это ненадежно.
Switch(config-if)#end
Switch#copy running-config startup-config//сохранить записи в файле конфигурации
Перезагрузите сервер DHCP и коммутатор Cisco, чтобы разрешить создание базы данных связывания отслеживания DHCP. Затем введите следующую команду, чтобы отобразить содержимое базы данных привязки DHCP snooping:
Switch#show ip dhcp snooping binding
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|
|||
|
|
X |
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
r |
|
||
P |
|
|
|
|
|
NOW! |
o |
|
|||
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|
|||
|
|
|
|
to |
|
|
|
|
|
Abnormal ARP Traffic Detection and Prevention |
|
|
|
|
|
|
|
|
|
|
|
||
w |
|
|
|
|
|
|
|
|
m |
||
w Click |
|
|
|
|
|
o |
|
||||
|
w |
|
|
|
|
|
|
|
|
|
|
|
. |
|
|
|
|
|
.c |
|
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
|
||
|
|
|
|
-xcha |
|
|
|
|
|
||
На следующем снимке экрана показано содержимое базы данных
DHCP Snooping.
|
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
|
X |
|
|
|
|
|
|||
|
|
- |
|
|
|
|
|
d |
|
||
|
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
r |
|||
P |
|
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
BUY |
|
|
|||
|
|
85 |
to |
|
|
|
|
|
|||
|
|
|
|
|
|
|
|
||||
w |
|
|
|
|
|
|
m |
||||
w Click |
|
|
|
|
|
o |
|||||
|
w |
|
|
|
|
|
|
|
|
||
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
|
-x cha |
|
|
|
|
||
3.6.3.3 Шаг 2. Настройка проверки динамического ARP для среды DHCP
Чтобы настроить проверку динамического ARP, введите следующие команды:
Switch>enable//введите команду enable для доступа в привилегированный режим EXEC
Switch#configure terminal//войти в режим глобальной конфигурации
Switch(config)#ip arp inspection vlan 1//включить динамический контроль ARP на VLAN 1 Switch(config)#end//вернуться в привилегированный режим
EXEC
Switch#show ip arp inspection vlan 1//проверить конфигурацию динамического контроля ARP
Switch#show ip arp inspection statistics vlan 1//
проверить статистику проверки динамического ARP
Switch#configure terminal
Switch(config)#ip arp inspection validate src-mac dst-mac ip//выполнить определенную проверку входящих пакетов ARP. Обратитесь к Лаборатории № 3.2 для получения дополнительной информации.
Switch(config)#ip arp inspection log-buffer entries
200//укажите количество записей, которые будут зарегистрированы в буфере. Диапазон составляет от 0 до
1024.
|
|
|
|
hang |
e |
|
|
|
|
||
|
|
|
C |
|
E |
|
|
||||
|
|
X |
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
||||
|
|
|
|
|
|
|
|||||
|
|
|
|
|
BUY |
|
|
||||
|
|
|
|
to |
|
86 |
|
||||
|
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
m |
|||||
w Click |
|
|
|
|
|
|
o |
||||
|
w |
|
|
|
|
|
|
|
|
|
|
|
. |
|
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
|||
|
|
|
|
-xcha |
|
|
|
|
|
||
Network Attacks and Defenses: A Hands-on Approach
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
Switch(config)#ip arp inspection log-buffer logs 0 interval 1//это означает, что запись помещается в буфер журнала, но системное сообщение не генерируется.
3.6.3.4 Шаг 3: Создание и предотвращение неправильного пакета ARP
Поскольку отслеживание DHCP и проверка динамического ARP включены, коммутатор должен отбрасывать аномальные пакеты ARP с неверным отображением IP / MAC-адреса. В этом эксперименте пользователь может использовать те же четыре ненормальных пакета ARP из предыдущей лабораторной работы. Например, мы генерируем только следующий ненормальный пакет ARP:
* Packet#1: Хост A отправляет следующий широковещательный пакет запроса ARP. Пакет нарушает действительное сопоставление IP/MAC-адреса, поскольку пара IP-адрес источника/MAC-адрес в заголовке ARP является недопустимой, как показано здесь.
На следующем снимке экрана показан вышеупомянутый ненормальный пакет ARP, сгенерированный с помощью CommView
Visual Packet Builder.
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-xcha |
|
|
|
|
||
Abnormal ARP Traffic Detection and Prevention
|
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
|
X |
|
|
|
|
|
|||
|
|
- |
|
|
|
|
|
d |
|
||
|
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
|
r |
|||
P |
|
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
|
BUY |
|
|
|||
|
|
87 |
to |
|
|
|
|
|
|||
|
|
|
|
|
|
|
|
||||
w |
|
|
|
|
|
|
m |
||||
w Click |
|
|
|
|
|
o |
|||||
|
w |
|
|
|
|
|
|
|
|
||
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
|
-x cha |
|
|
|
|
||
После внедрения вышеупомянутого ненормального пакета запроса ARP в сеть коммутатор Cisco отклонил пакет. Чтобы отобразить статистику о потерянных пакетах ARP, введите следующую команду:
Switch#show ip arp inspection statistics vlan 1
На следующем снимке экрана показано, что сгенерированный выше ненормальный пакет запроса ARP был отброшен механизмом «DHCP Deny» коммутатора Cisco, поскольку он содержит недопустимую пару IPадрес источника/MAC-адресов (192.168.1.3/00-1A-A0-B8-52-48).
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|
|||
|
|
X |
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
|
||
|
F |
|
|
|
|
|
|
t |
|
||
|
D |
|
|
|
|
|
|
|
i |
r |
|
P |
|
|
|
|
|
NOW! |
o |
||||
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|
|||
|
|
|
|
to |
88 |
|
|
||||
|
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
m |
|||||
w Click |
|
|
|
|
|
|
o |
||||
|
w |
|
|
|
|
|
|
|
|
|
|
|
. |
|
|
|
|
|
.c |
|
|||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
|
||
|
|
|
|
-xcha |
|
|
|
|
|
||
Network Attacks and Defenses: A Hands-on Approach
3.7 Краткое содержание главы
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
В этой главе были проанализированы и оценены решения безопасности, которые обнаруживают и предотвращают аномальный трафик ARP на основе практических экспериментов. Ясно, что обнаружению и предотвращению аномального трафика ARP не уделялось достаточного внимания большинством распространенных решений безопасности, даже если некоторый ненормальный трафик ARP может представлять серьезные угрозы.
В этой главе описаны три практических упражнения: (1) обнаружение аномального ARP-трафика с использованием XArp 2, (2) предотвращение аномального ARP-трафика с использованием функции безопасности
Dynamic ARP Inspection (DAI) для среды без DHCP. в коммутаторах Cisco Catalyst 3560 и (3) предотвращение ненормального трафика ARP с использованием функций безопасности Dynamic ARP Inspection и DHCP snooping для среды DHCP в коммутаторах Cisco Catalyst 3560.
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-xcha |
|
|
|
|
||
Глава 4
Обнаружение сетевого трафика и обнаружение случайного режима
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
4.1 Введение
Сниффинг-атака с использованием анализатора среди различных типов атак на локальные сети (ЛВС) - это простая атака, которая может быть очень опасной. Обнаружение сетевого трафика позволяет злоумышленникам легко красть конфиденциальные данные, пароли и конфиденциальность всех. Поскольку многие базовые службы, такие как FTP (протокол передачи файлов), Telnet и электронная почта (SMTP / POP3), отправляют пароли и данные в виде открытого текста, злоумышленники могут легко шпионить за пользователями сети, анализируя содержимое соответствующих перехваченных сетевой трафик. Для других сервисов может потребоваться программа дешифрования для извлечения паролей из потоков данных. Весь незащищенный сетевой трафик может быть уязвим для прослушивания.
Обнаружение сетевого трафика можно сделать, просто загрузив бесплатную программу-сниффер из Интернета и установив ее на компьютер. Кроме того, в коммутируемой ЛВС (не вещательная сеть) атака с использованием сниффинга требует, чтобы хостсниффер был либо подключен к порту SPAN (анализатор коммутируемых портов) на коммутаторе сети, либо использовал метод, такой как MiM (Man In-the-Middle) атака, описанная в главе 2,
89
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|
|
|||
|
|
X |
|
|
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
|
|
||
|
F |
|
|
|
|
|
|
t |
|
|
||
|
D |
|
|
|
|
|
|
|
i |
r |
|
|
P |
|
|
|
|
|
NOW! |
o |
|
||||
|
|
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|
|
|||
|
|
|
|
to |
90 |
|
|
Network Attacks and Defenses: A Hands-on Approach |
||||
|
|
|
|
|
|
|
||||||
w |
|
|
|
|
|
m |
||||||
w Click |
|
|
|
|
|
|
o |
|
||||
|
w |
|
|
|
|
|
|
|
|
|
|
|
|
. |
|
|
|
|
|
.c |
|
|
|||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
|
|
df |
|
|
n |
e |
|
|
|
||
|
|
|
|
-xcha |
|
|
|
|
|
|
||
для перенаправления целевого трафика. Однако в широковещательных локальных сетях нет необходимости перенаправлять трафик на хостанализатор или подключать хост-анализатор к порту SPAN, поскольку сетевой трафик передается на все хосты сети.
|
|
|
|
hang |
e |
|
|
|
|
|
|
|
|
C |
|
E |
|
|
|||
|
|
X |
|
|
|
|
|
|||
|
- |
|
|
|
|
|
d |
|
||
|
F |
|
|
|
|
|
|
t |
|
|
|
D |
|
|
|
|
|
|
|
i |
|
|
|
|
|
|
|
|
|
r |
||
P |
|
|
|
|
|
NOW! |
o |
|||
|
|
|
|
|
|
|
||||
|
|
|
|
|
BUY |
|
|
|||
|
|
|
|
to |
|
|
|
|
|
|
w Click |
|
|
|
|
|
m |
||||
|
|
|
|
|
|
|||||
w |
|
|
|
|
|
|
|
|
|
|
|
w |
|
|
|
|
|
|
|
o |
|
|
. |
|
|
|
|
|
.c |
|
||
|
|
p |
|
|
|
|
g |
|
|
|
|
|
|
df |
|
|
n |
e |
|
||
|
|
|
|
-x cha |
|
|
|
|
||
Анализаторы - это программы, которые позволяют хосту захватывать и отображать содержимое любого пакета, который проходит через сетевую интерфейсную карту (NIC) хоста, также известную как сетевой адаптер, даже если он не предназначен для хоста. Это может быть сделано путем перевода сетевого адаптера хоста в режим, называемый «смешанным режимом». Этот режим позволяет сетевому адаптеру получать вслепую любой пакет, а не только предназначенные для него пакеты, в сети Ethernet без проверки MAC-адреса назначения (Media Access). Контрольный адрес) и передать его ядру системы. Следовательно, пакеты, которые не должны поступать на хост-анализатор, больше не блокируются сетевым адаптером хоста. По умолчанию для сетевых карт установлен режим, называемый «нормальный режим». Когда сетевой адаптер хоста находится в нормальном режиме, он захватывает только пакеты, предназначенные для хоста, используя механизм фильтрации, известный как аппаратный фильтр сетевой карты. Таким образом, NIC хоста принимает только пакеты, чьи MAC-адреса назначения отправляются на MAC-адрес NIC хоста. Фактически, сетевые адаптеры представлены 6-байтовым аппаратным адресом (MAC-адрес Ethernet). Производители карт назначают уникальный MAC-адрес для каждой карты, так что каждый MAC-адрес является уникальным во всем мире. Все коммуникации в сети Ethernet основаны на этом аппаратном MACадресе одноадресной рассылки. Однако NIC может установить дополнительные аппаратные фильтры для приема пакетов разных типов. В обычном режиме NIC фильтрует пакеты на основе настроенного аппаратного фильтра. Ниже приведены возможные дополнительные аппаратные фильтры: