物理網(wǎng)絡(luò)層技術(shù)簡(jiǎn)介

1、物理網(wǎng)絡(luò)層技術(shù)簡(jiǎn)介針對(duì)物理網(wǎng)絡(luò)層常見(jiàn)的攻擊方法硬件地址欺騙網(wǎng)絡(luò)嗅探物理攻擊以太網(wǎng)CSMACD載波偵聽(tīng)多路訪問(wèn)沖突檢測(cè)先聽(tīng)后說(shuō)，邊說(shuō)邊聽(tīng)改善：以太網(wǎng)交換機(jī)，端口表Q：接收方如何知道幀的長(zhǎng)度？針對(duì)有線網(wǎng)絡(luò)協(xié)議的攻擊？基于頭部的攻擊（有限）源地址與目標(biāo)地址設(shè)成相同過(guò)短或過(guò)長(zhǎng)數(shù)據(jù)包（1500B, 46B）依靠設(shè)備自身安全基于協(xié)議的攻擊（無(wú)）網(wǎng)絡(luò)控制器故障基于驗(yàn)證的攻擊（較難）ARP攻擊填滿交換機(jī)地址表源地址與其中一臺(tái)設(shè)備相同對(duì)策：網(wǎng)絡(luò)訪問(wèn)控制NAC驗(yàn)證連接ISP的設(shè)備基于流量的攻擊（容易）流量嗅探用大類的流量造成網(wǎng)絡(luò)崩潰對(duì)策：加密，VLAN無(wú)線以太網(wǎng)協(xié)議？802.11（az）Wifi 802.11a或

2、802.11b 11Mbps54Mbps 100m網(wǎng)絡(luò)嗅探AP (Access Point)訪問(wèn)接入點(diǎn)產(chǎn)生網(wǎng)絡(luò)提供對(duì)有線網(wǎng)絡(luò)的訪問(wèn)SSID：Service Set ID發(fā)現(xiàn)AP接入網(wǎng)絡(luò)發(fā)送流量CSMACA 介質(zhì)空閑，等待隨機(jī)時(shí)間片無(wú)線以太網(wǎng) VS 有線以太網(wǎng)協(xié)議更復(fù)雜幀格式更復(fù)雜漏洞更多攻擊更常見(jiàn)基于頭部的攻擊無(wú)線以太網(wǎng)幀頭部大多數(shù)域由硬件控制器控制基于頭部的攻擊有限導(dǎo)致攻擊設(shè)備不能正常通信基于協(xié)議的攻擊協(xié)議主要由硬件實(shí)現(xiàn)，實(shí)施攻擊較復(fù)雜攻擊：將數(shù)據(jù)包嵌入介質(zhì)中探測(cè)釣魚發(fā)送大量信號(hào)引起阻塞減少探測(cè)的方法：加密NAC（Network Access Control）避免使用人名、公司名、家庭地址作

3、為SSID基于驗(yàn)證的攻擊設(shè)備驗(yàn)證：無(wú)線設(shè)備與AP互相驗(yàn)證AP配置驗(yàn)證：訪問(wèn)配置菜單，試圖修改AP的網(wǎng)絡(luò)安全特性惡意接入點(diǎn)：合法用戶擅自安裝AP并隱瞞AP有安全隱患，為攻擊者埋下伏筆允許用戶繞過(guò)內(nèi)部安全網(wǎng)絡(luò)，降低整體安全性對(duì)策：NAC，防止未授權(quán)用戶訪問(wèn)有線網(wǎng)絡(luò)；掃描發(fā)現(xiàn)惡意AP非法接入點(diǎn)：攻擊者將自己的AP偽裝成有效AP不加密AP獲取AP訪問(wèn)控制權(quán)對(duì)策：修改AP默認(rèn)密碼，加密基于流量的攻擊無(wú)線網(wǎng)絡(luò)流量嗅探對(duì)策：加密WEP：Wired Equivalent Privacy有線等效保密。對(duì)在兩臺(tái)設(shè)備之間無(wú)線傳輸?shù)臄?shù)據(jù)進(jìn)行加密，防止竊聽(tīng)或入侵WPA：Wi-Fi Protect Access, Wi-Fi訪問(wèn)保護(hù)協(xié)議，同時(shí)使用驗(yàn)證和加密，為家庭或企業(yè)設(shè)計(jì)驗(yàn)證密鑰會(huì)話密鑰對(duì)抗流量嗅探常用對(duì)策VLAN虛擬局域網(wǎng)VLAN靜態(tài)VLAN基于固定端口對(duì)抗ARP攻擊防止端口映射表攻擊動(dòng)態(tài)VLAN基于設(shè)備的硬件地址根據(jù)硬件地址驗(yàn)證設(shè)備常用對(duì)策NAC網(wǎng)絡(luò)訪問(wèn)控制NAC驗(yàn)證每一臺(tái)設(shè)備使用動(dòng)態(tài)VLAN強(qiáng)制通過(guò)基于策略分割的設(shè)備執(zhí)行策略如果為授權(quán)則不允許訪