Internet协议的安全性

1. 网络层

1. IP*6

攻击	原理	防御
IP源地址欺骗	IP不认证源IP	高层认证， 如IPsec的IKE
定向广播	IP协议支持定向广播	禁止定向广播
监听	IP无加密	加密， 如IPsec的ESP
完整性破坏	IP仅CRC校验首部完整性	校验， 如IPsec的AH和ESP
IP源路由选项	IP支持指定往返路由	路由器禁止源路由选项
IP分片攻击	大包攻击 碎片攻击：头放几片里，可以绕过包过滤 分片重叠 不发完DoS	先重组，不分片， 序号（如IPsec）

2. ARP*3

攻击	原理	防御
ARP欺骗	做中间人	静态ARP， 永久ARP（下面一样）
ARP重定向	不停告诉别人我是网关
MAC flooding	给交换机狂发，占满表， 交换机变集线器	不知道

3. ICMP * 3

攻击	原理（ICMP没有验证可以伪造）	防御
针对带宽DoS	狂ping	允许单方向ping
针对连接DoS	发假的不可达终止连接	阻止一些类型的ICMP
ICMP重定向	利用重定向改变主机路由表，自己伪装成路由器，常和IP源地址欺骗结合	阻止一些类型的ICMP

2. 传输层协议

1. TCP

1. * SYN-Flood攻击

攻击

• 原理： 属于语义DoS攻击（利用协议缺陷），狂发SYN形成一堆半连接

• 根据源地址欺骗（随机伪造，子网伪造，固定伪造）有放大攻击（DNS请求和响应大小远不同），反射攻击(固定伪造)

• 防止SYN返回报文攻击到自己的方式就是源地址伪造

检测

• 半开连接检测
• 新建连接速率检测：检测不活动连接

* 防御

• 源地址过滤

• 释放无效连接：检测半开和不活动连接释放

• 延缓TCB分配（收到SYN后分配的资源叫TCB）

• 代理服务器(也算延缓TCB)

  • SYN proxy：窗口设为0

  • SYN cache： 用cache存半连接

  • SYN cookie： cookie， 第三次开TCB

  • Safe reset： cookie， 第三次发rst重连，后续不代理

    

2. TCP序号攻击

攻击

TCP只有基于序号的认证，认证很弱，如果能猜到序号，人家就相信

先dos冒充对象

再连接攻击者来试探序号

再正式建立连接

3. 拥塞机制攻击

故意制造拥塞

防护:网关实时检测异常流量

2. UDP

攻击	基于缺陷
UDP Flood	是暴力DoS,没有拥塞控制
UDP欺骗	没有连接没有认证

3. 应用层协议

1. DNS

攻击*3

DNS污染: 攻击DNS服务器

DNS欺骗: 假装DNS服务器

DNS中毒: 伪装其他服务器对DNS服务器响应

防范*3:

1. 基于地址认证

2. 不把秘密信息放在主机名里

3. DNSsec

2. FTP

攻击	防御
明文传输：登录用户名、密码以及传输内容都明文传输，易被窃听	使用SFTP 1. 加密 2. 采用SSH(port22)，避免开大量数据连接端口
两种方向的数据连接：PORT开放端口导致访问控制失效	禁止PORT,只允许PASV
FTP反弹攻击：攻击者在PORT命令中指定特定的IP地址和端口号参数，将数据发送的第三方	限制PORT指定的IP和port 或者关闭PORT
用户权限限制问题：如果FTP用户权限限制不合理，会导致授权访问	不用root运行
匿名FTP问题：全球可读写的目录常用来存储和发布盗版软件或其它违法的软件或数据	只读,取消匿名

3. TELNET: 改用ssh

无加密,无完整,无认证

4. 电子邮件

SMTP明文, 无认证

1. 攻击

1. 邮件炸弹: 挤爆邮箱

2. 垃圾邮件: 垃圾内容

3. 社工

2. 防御

1. 反垃圾: 过滤等

4. 路由协议

1. RIP

RIP流程复习

探寻邻居， 定期发整张路由表给邻居，然后看情况更新， 最后收敛，每个路由器都有完整拓扑

协议缺陷：

• 不可靠的UDP传输
• RIPv1没有认证， RIPv2用MD5但已被破解，总之就是没认证

攻防：

攻击	防御
1. 攻击者可以伪造RIP路由更新信息，并向邻居发送， 经过收敛网络可能瘫痪 2.可以嗅探路由表，然后再破坏完整性截取或者重放	1. 配置路由器为被动接口（只进不出） 2. 增加认证 3. 配置访问控制，只允许指定IP更新报文

2. OSPF

OSPF流程复习

发的是相邻路由器的状态， 有变化才发， 给全网泛洪， 最后拿dijkstra算、

协议缺陷

• 有认证，但是很多节点还是用口令
• 会泛洪， 欺骗容易扩散

3. BGP

BGP复习

不是最佳路由，只保证不兜圈子，下层是TCP， 有IGP和EGP

协议缺陷

没有认证

解决：

MD5 BGP

S-BGP

…