IP网络攻击及安全防护浅析

IP网络承载业务分析

目前国内通信业的焦点仍有很多，比如TD-SCDMA和WCDMA之争，手机电视以及各种3G增值业务之争，牌照之争，共享资源减少重复投资之争，诸如此类。但至少有一点，在各大运营商厂商以及研究院学者之间已经达成了共识：

那就是今后的所有业务都将使用IP网络来承载。实现真正的AllOverIP。并且随着3G，IPTV等业务离我们的生活越来越近，全IP网络的融合也离我们越来越近。全IP承载网络给我们带来了标准化，高带宽，资源共享，网络共享等优点的同时，也给我们带来了新的思考和挑战。

最大的挑战无非来自于两个方面。IP的服务质量以及IP的网络安全。毫无疑问，传统的专网专用的通信网络可以提供给用户稳定性更好更安全的业务，带给了用户更好的网络体验。使用IP网络来承载上层应用确实带给了我们很多不确定性。

延迟，丢包，抖动，不稳定性都会给运营商的服务质量带来很大冲击。同时，针对IP网络的安全攻击事件也层出不穷。但从总的趋势来看，全IP承载是大势所趋，利远大于弊。因此我们需要花更多的时间来关注服务质量以及IP的网络安全。本文则主要侧重于IP网络安全，从多个方面进行探讨。

说起网络安全，首先自然要说起网络攻击。如果没有网络攻击，自然天下太平。而分析起网络攻击，自然离不开对黑客的讨论。那么为什么要发起网络攻击呢？只有切实了解了黑客发起网络攻击的动机才能反黑客。只有消灭了犯罪的根源，也才能杜绝犯罪，维护社会稳定。

下面我们可以先从技术的角度对网络攻击行为进行一个分类。按照OSI七层模型来进行分类，可以分为针对应用层的攻击，针对传输层的攻击，针对网络层的攻击还有针对数据链路层的攻击。

arp欺骗攻击：ARP协议用来完成IP地址到MAC地址的转换。ARP协议对网络安全具有重要的意义。通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞或者实现“maninthemiddle”进行ARP重定向和嗅探攻击。

目前网络上有很多种工具可以完成此类攻击，如网络执法官等。针对此类攻击也有很多种防范措施，比如MAC地址静态绑定，arp智能检测等。

Mac地址泛洪

交换机主动学习客户端的MAC地址，并建立和维护端口和MAC地址的对应表以此建立交换路径，这个表就是通常我们所说的MAC地址表。MAC地址表的大小是固定的，不同的交换机的MAC地址表大小不同。

Mac地址泛洪攻击是指利用工具产生欺骗MAC，快速填满MAC地址表，交换机MAC地址表被填满后，交换机以广播方式处理通过交换机的报文，这时攻击者可以利用各种嗅探攻击获取网络信息。MAC地址表满了后，流量以泛洪方式发送到所有接口，也就代表TRUNK接口上的流量也会发给所有接口和邻接交换机，会造成交换机负载过大，网络缓慢和丢包甚至瘫痪。

目前主流厂家的中低端交换MAC地址表容量在8K左右，而使用Dsniff工具可以轻松地在1分钟内产生15万左右MAC地址冲击我们的局域网。而针对这种类型的攻击防护可以在交换机启动最大MAC地址限制，端口安全等策略。

IP网络在应用过程中给我们带来很大的方便，但是，在应用的同时我们还应该充分考虑其安全问题，这样才能保证我们的网络平稳安心的运行。

【编辑推荐】