DHCP攻击安全防范知识点学习笔记

DHCP攻击安全防范知识点学习笔记：松散模式：不检查接口是否匹配，只要FIB表中存在该报文源地址的路由，就可以通过。应用场景，例如两个网络边界设备之间有多条路径连接时使用松散模式。

DHCP攻击安全防范知识点学习笔记

• DHCP攻击
  • 1.DHCP Server仿冒攻击
  • 2.DHCP仿冒DHCP报文攻击
  • 3.DHCP服务器拒绝服务攻击
  • 4.DHCP报文泛洪攻击
  • 5.中间人攻击
• ARP攻击
  • ARP泛洪攻击
    • 方式1：对设备ARP表的耗尽。伪造大量源IP变化的ARP报文，耗尽设备ARP表项资源
    • 方式2：利用扫描工具发大量无法解析的目标IP报文，让设备触发大量ARP Miss消息，造成CPU负载过重。
  • ARP欺骗攻击
    • 伪造ARP报文，恶意修改设备或用户主机的ARP表，造成通信异常。
  • 解决方案
    • ARP泛洪攻击解决方案 ①ARP 报文限速，避免处理大量ARP报文 ②ARP Miss 消息限速，防止触发 ARP Miss 消息 ③ARP 表项严格学习 ④ARP 表项限制
    • ARP欺骗攻击解决方案 ①ARP表项固化，设备首次学习ARP后，不允许用户更新该ARP表项或只能更新部分。 ②发送免费 ARP 报文，网关主动发 ③ARP 报文内 MAC地址一致性检查 ④ARP 报文合法性检查 ⑤ARP 表项严格学习
• ICMP攻击
  • ①畸形报文攻击防范
    • 向目标设备发送有缺陷的IP报文，使目标设备在处理这样的 IP报文时崩溃
  • ②IGMP空报文
    • 处理 IGMP 空报文时会出错和崩溃
  • ③Smurf攻击
  • 解决方案：启用畸形报文攻击防范
• URPF
  • 原理
    • URPF根据报文的源IP和入接口，在FIB表中查找源IP对应的接口是否与入接口匹配。 不匹配，则认为源地址是伪装的，丢弃报文
  • 工作模式
    • 严格模式： 要求报文源地址在FIB表中有相应表项并且入接口匹配才能通过URPF检查。 应用场景，两个网络边界间只有一条路径时使用严格模式
    • 松散模式： 不检查接口是否匹配，只要FIB表中存在该报文源地址的路由，就可以通过。 应用场景，例如两个网络边界设备之间有多条路径连接时使用松散模式
  • 场景部署
    • 严格模式
    • 松散模式
      • ISP之间有两条连接。不能够保证Enterprise和ISP之间路由的对称性，必须使用URPF松散模式。
• IPSG
  • 定义
    • 基于二层接口的源IP过滤技术，防止恶意主机伪造合法主机的IP来冒充合法主机， 确保非授权主机不能通过自己指定IP地址的方式来访问网络或攻击网络。
  • 原理
    • 利用绑定表（源IP、源MAC、所属VLAN、入接口的绑定关系）去匹配检查收到的IP报文，匹配绑定表的报文放行，不匹配就丢弃。
  • 部署位置