网络安全说明1-互联网协议的安全

一、网络层协议

1.1.知识产权协议的安全问题及保护措施

• 安全问题1:IP数据报告易受攻击者在传输过程中的监视和盗窃。 这是一个被动攻击,攻击者可以截获数据信息,分析网络负载,从而获取数据内容。
  保护措施1:加密IP数据消息。

• 安全问题2:由于IP层不使用任何机制来确保网络负载传输的正确性,攻击者可以截获数据消息,修改数据消息的内容,并发送修改的结果给接收者。
  保护措施2: 实现IP数据报告净负载的完整检测机制.

• 安全问题3:IP层不能保证IP数据消息必须从源地址发送。 攻击者可以假装是另一个网络主机,并且发送一个包含伪造源地址的包的欺骗接收者。
  保护措施3: 用源地址识别机制保护.

• 安全问题4：IP数据报在传输过程中要经历被分段和重组的过程，攻击者可以在包过滤器中注入大量病态的小数据报，来破坏包过滤器的正常工作。
  保护措施4:许多防火墙能够重新组织分段IP数据报告来检查其内容。

• 安全问题5:使用特殊目的地址发送IP数据消息也引入了安全问题,例如,攻击者可以使用目标地址的IP数据消息来攻击多种类型的主机的广播地址。
  保护措施5:在配置路由器时,允许禁止发送目标广播包。

1.《ARP协定》的安全问题及保障措施

输入arp -a命令可视作主机缓存的ARP映射,其动态类型是ARP查询后接收的响应

1.2.1.ARP欺诈攻击

当A主机询问B主机的MAC地址时,C主机伪造ARP响应,告诉A主机B主机的MAC地址是攻击者的MAC地址
同样,当B主机请求A主机的MAC地址时,C主机伪造ARP响应,告诉B主机A主机的MAC地址是攻击者(C主机)的MAC地址
因此,当A主机和B主机互相发送数据时,数据被转移到攻击者C,攻击者接收A和B通信数据消息

防火措施

1. 在交换机上配置IEEE 802.1x协议，攻击者连接交换机时需进行身份认证 （802.1x协议简述）
2. 建立静态ARP表

1.3.《红十字行动协定》的安全问题和保护措施

参考文献: imp super 详细说明

互联网控制消息协议(英语:Internet Control Message Protocol,ICMP)是一个重要的错误处理和信息处理协议。

• 它用于通知东道主到目的地的最佳路线,并报告路线故障;
• 它有两个非常重要的监控工具, Ping和Tracert,它们是它的一个重要组成部分
• 它是错误和控制报告的协议,它不仅用于发送错误信息,还用于发送控制信息

1.3.1, ICMP 的 重新 定位 攻击

攻击者可以使用ICMP重新定位消息,导致目标机器遭受攻击,如连接劫持和拒绝服务。

攻击原理
首先假设有两个计算机,正常情况下，两个机器在网络中相互作用时需要通过路由.但是路由器有一个策略,当你发现一个机器在网络中使用的非优化路由时,路由器向机器发送一个ICMP重新定位的特殊消息,告诉机器改变路由，使机器的路线最好,这种优化和非优化可以理解两个点最短的直线,怎么快就怎么弄，这本身就是网络的一个有用的机制。
但是这个更改路由的ICMP重定向特殊报文是可以伪造的，并且不需要经过一些校验，合法性检查。也就是说攻击者完全可以向他向受害主机发送ICMP重定向报文，迫使受害主机更改路由表。

危害
ICMP重新定位的攻击包可以迫使主机将路径转换为攻击主机,然后,宿主的交通需要通过攻击者的宿主。攻击者可以截获、提取、分析、修改和重载用户-用户数据包,对流域进行嗅觉 、 劫持和中介,造成多种安全威胁。

防护
一般来说,现有的网络很少能发送转路消息,所以我们可以禁止开关发送转路消息,而主机不会处理转路。 Huawei设备取消了发送和接收ICMP转路包

1.3.ICMP路由器检测攻击

在进行路由发现时，ICMP并不对应答方进行认证，使得它可能遭受严重的中间人攻击。攻击者假冒正常的路由器，使用伪造信息应答ICMP询问。由于ICMP并不对应答方进行认证，因此接收方无法知道响应式伪造的。

1.3.防火墙过境攻击

通过防火墙穿越攻击技术（Firewalking），攻击者可以跨越防火墙的访问控制列表和规则,然后确定防火墙筛选的内容和具体的筛选方法。虽然防火墙面临着使ICMP实现的风险,但是由于主机使用路径MTU机制,因此,在防火墙上封锁所有ICMP消息是不适当的。

1.3. Ping洪灾和Smurf洪灾

ping泛洪
它使用 ping 的原理,大量ICMP返回请求被发送到目标服务器。这是当一个黑客发送大量ICMP返回请求消息给一个特定的机器时。目标机已尽力响应所取得的ICMP返回请求,最初的通信处理变得非常不稳定。进一步，与目标机器连接的网络也可能由于大量ICMP包而使用。
smurf
黑客恶意使用ICMP来检索请求消息。这就是平洪。不过在smurf，已对ICMP返回请求进行一些处理.源IP地址被伪造成攻击对象服务器的地址,目标地址不是攻击目标服务器的地址,相反,它成为发送器网络的广播地址。

黑客发送了一个伪造的ICMP返回请求后,作为平台的路由器进入网络.这样，路由器将返回请求发送到网络中的所有计算机(如2)。如果有100台电脑,返回请求将到达所有100台计算机.收到转发请求的电脑答复了,发送回以回答消息(同上,3)。这样，由黑客发送的ICMP消息返回请求消息,它一度增加到100倍。
因此,增加的ICMP返回响应信息是面向不是黑客的计算机,相反,它假装是返回请求的源IP地址的目标服务器。变成到达了，来自数百台计算机的大量ICMP响应被发送回。smurf与 ping洪水攻击不同,因为服务器是ICMP返回响应,服务器不返回答复。但是为了处理大量ICMP,服务器负载严重。当网络被炸毁时,同样的事情也发生了

1.4. IGMP协定的安全问题和保护措施

互联网群管理协议(英语:Internet Group Management Protocol,IGMP)是管理IP群广播的TCP/IP协议家族中的协议。

• 主机由IGMP通知路由器,它希望接收或离开某一特定组广播组的信息
• 路由器利用IGMP定期查询局域网络中的组广播组成员是否处于活跃状态,并实现联网段组成员关系的收集和维护

1.4.1.使用查询报告攻击

当一个具有较低的IP地址的路由器发送伪造查询消息时,当前查询方假设查询任务由伪造查询方执行,而当前查询方则转向响应查询请求,不再发送查询消息。

1.4.使用DOS攻击离开消息

子网内非法用户通过截获某个合法用户信息来发送伪造的IGMP离开报文，组播路由器接受报文后误认为该合法用户已经撤离该组播组，则不再向该用户发送询问请求，从而造成拒绝服务攻击。

1.4.使用报告报告攻击

非法用户伪造或截获合法用户报告,并向分组路由器发送伪造报告,导致分组路由器误以为新用户加入,并将分组树扩展到非法用户居住的子网。

1.OSPF协定的安全问题及保障措施

开放最短路径优先协议（Open Shortest Path First，OSPF）是一个内部网关协议，用于在单一自治系统内决策路由。
OSPF是一个分布式链状态路由协议
在该协议中,只有在链路状态发生变化时,路由器通过洪水向所有路由器发送路由信息,每个路由器都有一个链路状态数据库,存储整个网络链路信息。

OSPF协议中规定了认证域（authentication），但其作用非常有限

1. 尽管OSPF提供了更强的认证,但一些节点仍然使用简单的代码认证
2. 如果路由对话中被妥协的合法用户,其消息就变得不可靠
3. 在许多路由协议中,邻近的计算机重复老对话内容,导致欺骗的传播。

1.GP协议的安全问题及保障措施

边界网关协议（Border Gateway Protocol，BGP）将单一管理的网络转化为由多个自治系统分散互连的网络。

安全问题
BGP缺乏可靠和安全的路由认证机制,无法验证传输的路由信息的安全。

解决方案
路由器认证类方案: MD5 BGP认证技术, S-BGP方案, soBGP方案等。
接头劫持检测类方案:多源AS检测技术,主动检测技术

二、传输层协议

2.1.TCP议定书的安全问题及保障措施

传输控制协议(英语:Transmission Control Protocol, TCP)是一种面向连接的可靠的传输层通信协议。

2.1.SYN FLOOD攻击

TCP连接是一个三次握手过程，在服务器收到初始的SYN数据包后，该连接处于半开放状态。此后，服务器返回自己的序号，并等待第三个确认数据包确认。最后，客户机发送确认数据包，在客户机和服务器之间建立连接。

SYN洪水袭击
攻击者不断向服务器的监听端口发送建立TCP连接的请求SYN数据包，使服务器一直处于半开放连接状态，无法接受其他正常的连接请求。这种攻击属于拒绝服务（DoS）攻击。

防护措施
在服务器的前端部署网络安全设备(防火墙)以筛选数据包

2.1.2,TCP对话劫持攻击

被TCP协议攻击的TCP对话劫持攻击,未能检测包加密和身份验证漏洞

攻击描述
TCP协议主要通过确定数据包中唯一的32位序列数是否正确来确定数据包的真实性。 如果攻击者能够预知目标主机的初始序列,它可以欺骗目标主机。

防护措施
当TCP连接建立时,作为初始序列数使用随机数

2.1.交通堵塞控制攻击

在建立TCP连接后,在数据阶段对TCP拥堵控制机制的特点进行攻击

攻击描述
节点控制功能的设计是为了防止太多的数据进入网络,经验丰富的攻击者可以利用节点控制机制的特性循环创建网络关键节点节点,持续启动节点窗口的缓慢启动过程,最终达到减少正常传输能力的目标。

防护措施
当网络关闭时监测网络异常流量

2.开发计划署协议的安全问题及保障措施

用户数据图协议(User Datagram Protocol,UDP)是一种无连接层协议,提供一种简单而不可靠的面向交易的信息传输服务。
没有连接,高性能传输;不可靠的传输,没有拥塞控制;数据消息的第一部分只有8字节;网络拥塞不会降低传输速率

安全问题
最常见的 UDP 攻击是 DoS 攻击,而 UDP 洪水攻击是最常见的流型攻击。

攻击原理
攻击源发送大量UDP包到攻击目标,目标可能是服务器或网络设备,该设备忙于处理和响应UDP消息,系统资源利用率非常高,最终设备无法提供正常服务或直接陷入僵局,严重瘫痪整个网络。

载荷检查和指纹学习

• 负载检查:当UDP流超过阈值时触发负载检查。 如果UDP消息的数据字段内容完全相同,例如数据字段内容为1,则被认为是攻击,消息被丢弃。
• 指纹学习:当UDP流量超过阈值时,会触发指纹学习。指纹是由反DDoS设备动态学习产生的。研究了攻击消息的一个重要特征,作为指纹,与指纹匹配的邮件将被丢弃。动态指纹学习适用于以下类型的UDP洪灾攻击:报告负荷具有明显的特征。报告的内容是相同的。
  

开发计划署协定的保护措施
UDP协议与TCP协议不同，是无连接状态的协议，并且UDP应用协议五花八门，差异极大，因此针对UDP Flood的防护非常困难。其防护要根据具体情况对待？

• 确定数据包的大小,如果发生大规模数据包攻击,使用UDP断片防止方法: 根据攻击数据包的大小,设置数据包断片重组大小,通常不低于1500。
• 攻击端口是业务端口:设置UDP最大包大小,以根据业务UDP最大包长度筛选异常流量。
• 攻击端口是非商业端口:一个是丢弃所有UDP包,一个是设置UDP连接规则, 这可能误导正常操作.要求所有UDP包进入端口,首先必须与TCP端口建立一个TCP连接。但是这种方法需要专业防火墙或其他保护设备的支持

三、应用层协议

协议栈

3.1.RIP协定的安全问题和保护措施

港口:UDP 520

路由信息协议(英语:Routing Information Protocol,RIP)是一种动态的内部路由/网络协议,用于在独立系统内传输路由信息。

安全问题
攻击者可以伪造RIP路由更新,并将其发送到邻近路由,伪造网络地址、子网掩护地址和下一步跳跃地址。经过数次路由更新后,网络通信有瘫痪的风险。
此外，攻击者将使用一些网络嗅觉工具(tcpdump和rprobe等)来获取远程网络RIP路由表,利用欺诈工具,例如“rip”等手段,伪造RIP声明;使用调用工具(例如断路工具)来截获、修改和重写发送出去的邮件,报告信息以控制网络

防护措施
小型和中小型网络通常采取下列两项保护措施,以防RIP不安全因素

1. 将路由器的某些接口配置为被动接口，之后该接口停止向它所在的网络广播路由更新报文，但是允许它接收来自其他路由器的更新报文。
2. 配置路由器的访问控制列表,仅允许在列表中输入某些源IP地址

3.2.HTTP协议的安全问题和保护措施

端口：TCP 80

超文本传输协议(Hyper Text Transfer Protocol,HTTP)是客户端和服务器端请求和响应的标准,是互联网上最广泛使用的网络协议之一。

安全问题
HTTP协议中的数据直接通过MIME传输,并不能提供任何数据加密,因此存在一个巨大的安全缺陷。

• 安全隐患1：攻击者可以通过网络嗅探工具轻易获得明文的传输数据，从而分析出特定的敏感信息，如用户的登录口令、手机号码和信用卡号码等重要资料。
• 安全隐患2：HTTP协议是一种无状态连接，在传输客户端请求和服务器响应时，唯一的完整性检验是报文头部的数据传输长度，而未对传输内容进行消息完整性检测。攻击者可以轻易篡改传输数据，发动中间人攻击。

防护措施
增加HTTP协议和TCP协议之间的安全层以增强安全性。 安全层主要通过安全套接层(SSL)及其替代协议传输层安全协议(TLS),其中SSL协议通过443个端口传输,主要包含记录协议和手柄协议。

HTTPS协议及其安全性
HTTPS协议通过增加安全层，可实现双向身份认证、生成会话密钥、传输数据加密、数据完整性验证和防止数据包重放攻击等安全功能。针对HTTPS协议的攻击方式主要是发生在SSL连接还未发生时的中间人攻击。

3.3.TELNET协议的安全问题和保护措施

端口：TCP23

远程登录协议（Teletype Network，TELNET）是TCP/IP协议族中的一员，是Internet远程登录服务的标准协议和主要方式。

安全问题
Telnet提供简单的终端访问到主机.主要用户输入登录的帐户名称和密码。电话网程序可能泄露机密信息,攻击者可以通过Sniffer记录用户名和密码组合,或者记录整个会话。攻击者也可以采取主动的方式进行攻击,例如,在验证完成后,绑架一个电话网络对话和修改或插入一些命令。
黑客可以在某些情况下使用TCP劫持攻击来劫持Telnet的对话。

防护措施
对Telnet会话进行加密。目前出现了几种Telnet的加密解决方案，它们分别为Stel、SSLtelnet、Stelnet、SSH等协议。其中SSH已经成为远程登录的标准协议。

3.社会服务协定的安全问题及保障措施

端口：TCP 22

安全壳协议（Secure Shell，SSH）是一种在不安全的网络上建立安全的远程登录或其他安全网络服务的协议。

SSH支持身份验证和数据加密,传输的所有数据的加密处理,并采用 挑战/回应机制 取代传统的主机名称和密码认证,它可以作为一种安全的远程登录方法取代Telnet,它也可以为FTP、POP等服务提供一个安全的“隧道”。它可以有效地防止中间攻击。

SSH通信流程
建立TCP连接->版本协商->算法协商->密钥建立和服务器认证->用户认证->通信会话

安全问题及防护措施

• 服务器认证
  问题描述:SSH协议在没有可靠的认证机构的情况下在不安全的网络环境中验证服务器的认证;SSH协议提供了可选的功能,使得客户端在连接到服务器时不能第一次验证服务器的主机密。
  保障措施:您必须检查主机密钥以验证服务器的准确性
• 协议版本协商
  问题描述:在运行SSH协议的第一步是查阅服务器和客户端协议版本。 如果攻击者使用一个具有安全漏洞的版本创建连接,则可能进行进一步的攻击。
  保护措施:服务器使用安全问题软件可以中断与通信器的TCP连接
• 主机密钥文件安全
  问题描述：SSH协议服务器的主机密钥存储在一个主机密钥文件中，若该文件被窃取或篡改，则会对协议的认证机制造成严重威胁，进一步实施假冒、重放和中间人攻击等
  保护措施:加强管理主机密文件的安全机制

3.DNS协议的安全问题及保障措施

端口：UDP 53

域名系统（Domain Name System，DNS）是一个分布式数据库系统，用来实现域名与IP地址之间的映射。

安全问题

• DNS欺诈攻击: 攻击者伪造域名服务器的欺诈行为.
• DNS缓存中毒攻击:攻击者将非法网络域名地址注入 DNS服务器,如果服务器接受非法地址,那么域名请求的响应将由黑客控制。 当非法地址写入服务器缓存时,用户会跳到DNS指定的非法地址。
• DNS转址攻击: 攻击者将 DNS 名称查询转向恶意 DNS 服务器,而域名分析被劫持,完全由攻击者控制。

防护措施

• 它强烈建议那些暴露的主机不使用基于名称的认证。 虽然基于地址的认证也是易受攻击的,但它比前者更好。
• 攻击者可以从主机名中找到有用的信息,所以不要将秘密信息放在主机名中。
• 抵御DNS攻击的有效方法是采用DNSsec的新标准,但这个协议仍然存在许多问题,这拖延了它的扩展。

3.SMTP协定的安全问题及保障措施

端口：TCP 25

简单邮件传输协议(英语:Simple Mail Transfer Protocol,SMTP)是发送邮件从源地址到目的地地址的一套规则,它控制消息的传输方式。

安全问题
SMTP本身是完全无害的,但它可能是拒绝服务攻击(DoS)的源头。攻击者可以使用DoS攻击来阻止合法用户使用邮件服务器;邮件异名有时可以向黑客提供有用的信息;“开放接口”允许邮件在任何人之间传输;这是非常危险的。

防护措施
使用SMTP认证并与加密的SMTP对话结合以避免“开放继电器”。

3.IME协议的安全问题及保障措施

多用途互联网电子邮件保留(英语:Multipurpose Internet E-mail Extention,MIME)是一种广泛使用的电子邮件协议。

安全问题

• 当MIME被应用于电子邮件系统时,MIME编码消息的自动运行隐藏着巨大的风险,这些消息中编码的结构信息可以告诉客户端软件该做什么;
• 对MIME进行部分攻击;
• 其他MIME安全风险: 邮件执行程序或包含危险的PostScript文件的邮件是传播蠕虫和病毒的主要手段。

防护措施

• MIME客户端自动运行被禁
• 拒守不完整邮件
• 禁止以可执行程序下载MIME消息

3.《POP3协定》的安全问题和保护措施

港口:TCP 110

邮政协议(Post Office Protocol,POP)是第三版的邮政协议,称为POP3。

安全问题

• POP3协议非常简单,甚至Perl脚本程序非常容易实现,因此非常不安全。
• POP3代码在纯文本中传输,使用网络监控软件如嗅觉软件可以轻易捕捉。
• APOP用于使用挑战/响应机制验证用户名和密码,但邮件内容没有加密保护。
• 这个代码存储在服务器上,一旦服务器受到攻击,这个代码也会被黑客偷走。

防护措施

• 限制防火墙上的邮件服务器的访问.
• 安全加强 POP3服务器的用户数据库。
• IMAP4协议取代POP3协议,并使用SSL/TLS加密发送的数据。

3.IMAP4安全问题及保护措施

港口:TCP 110，993

互联网消息访问协议(英语:Internet Message Access Protocol,IMAP)是一个邮件访问协议,其第四版是IMAP4。

主要特点
比如IMAP4和POP3,是收邮件协议，它具有较强的邮件箱访问控制能力,方便提供邮件下载服务,支持非线性阅读;支持在线/非线性数据传输;使用服务器端的分布式邮件存储;并支持用户远程加密访问服务器。

安全问题
IMAP4使用挑战/响应机制验证用户的身份,但此机制用于存储服务器端的共享秘密信息,一旦服务器受到攻击,用户的秘密信息被黑客盗窃。

防护措施
混合函数用于对共享秘密进行混合操作,消除共享秘密的等价性。

3.GPGP安全问题及保障措施

PGP(Pretty Good Privacy)协议是一个常用的安全电子邮件标准。PGP包含五个服务:认证、保密、压缩、电子邮件兼容和分区。

功能	使用算法	描述
数字签名	DSS/SHA或RSA/SHA	消息 Hash 代码使用 SHA-1 生成,通过 DSS 或 RSA 加密消息摘要与发送者私钥
消息加密	CAST或IDEA或使用3DES或RSA	消息发送者生成的一次性对话键是通过CAST-128或IDEA或3DES加密的。 DH或RSA使用接收者公开密码加密对话键,并与消息加密
压缩	ZIP	发送或存储时,可以压缩ZIP消息
电子邮件兼容	基数64转换	为了为电子邮件应用提供透明度,使用base64将加密的消息转换为ASCII字符串
分段	为了遵守最大消息大小限制,PGP执行分段并重新组装

安全问题及防范措施

• 公共密钥滥用:随着PGP的普及,PGP也出现在多用户系统中,增加了暴露密钥和加密的可能性,而公共密钥会导致合法的通信者无法解密文件,或导致攻击者伪造签名。
  保护措施: 使用数字证书技术确保公共钥匙的信誉.
• 不可靠的时机:攻击者可以修改系统时间来伪造时机,允许攻击者进行重袭。
  保护措施:1.建立第三方时间认证系统,由认证方在邮件上签名标准时间;2.使用国际标准时间标记协议RFC3161。
• 信任模型缺陷:第三方在PGP中被引入,以获取通信伙伴的未验证身份的有效公开密钥,从而给第三方带来信任问题。 此外,PGP不使用有效的ICP证书管理系统。
  保护措施: 规范用户信任度; 建立有效的GP证书管理系统.

3.FTP协议的安全问题及保障措施

港口:TCP20/21

文件传输协议（File Transfer Protocol，FTP）是Internet文件传送的基础，是TCP/IP协议族的重要协议之一。

安全问题

• FTP反攻击是一个使用FTP协议的Port命令发送数据给第三方的攻击者,攻击者可以使用FTP服务器扫描并发送数据给其他机器。
• 攻击者可以伪造Java程序,以发动攻击FTP客户端。
• 客户机与服务器之间的消息是以明文的形式传输的，运行FTP协议时，访问FTP服务器的口令很容易被探测或猜测到。
• ftpd后端ដេមិន开始使用根用户权限,如果攻击者有根权限,他们可以做任何他们想要的。

防护措施

• 主动模式下，FTP服务器限制PORT命令的IP地址为客户端IP且端口大于1024。在被动模式下，可使用PASV命令。
• 禁止运行包含Java的脚本程序。
• 使用SFTP协议加密用户名和密码。

3.12.TFTP协定的安全问题和保护措施

端口：UDP 69

Trivial File Transfer Protocol (TFTP)是一种用于客户端和服务器之间传输简单的文件的协议。
TFTP用于提供简单、低成本的文件传输服务,使用UDP协议,提供不可靠的数据流传输服务,不提供授权和认证机制,并使用超时再传输方法确保数据到达。

安全问题
只提供文件传输,没有验证文件的成功传输,没有保证可靠性和安全性。

防护措施
除非您真正需要它,否则您不应在任何机器上运行该协议;如果要确保它正确配置,则严格禁止上传配置文件。

口令破解攻击实例

3.NSF协定的安全问题及保障措施

港口:UDP 2049

网络文件系统(英语:Network File System,NFS)是基于TCP/IP网络的文件共享协议。
NFS允许系统在网络上与他人共享目录和文件。
通过NFS协议,用户可以在远程系统访问本地文件时访问远程系统上的文件,并在远程系统中创建、修改和删除共享文件。
NFS协议采用基于远程进程调用的分布式文件系统结构

安全问题及防护措施

• NFS协议缺乏用户验证机制:NFS只验证RPC/Mount请求,这些访问控制措施是不安全的。
  保护措施:加强客户访问控制
• 2049号港口属于无特权区:2049号港口属于无特权区,易于分配给其他普通进程。
  保护措施:防火墙阻止其他进程访问2049端口
• 客户端可以对服务器进行DOS攻击:客户端可以伪造返回包,并创建Setuid程序来发起DOS攻击。
  保护措施:使用不可靠资源选项
• 服务器可以在客户端上安装恶意软件:服务器很容易在客户端上安装恶意软件和病毒。
  保护措施:调查病毒的外部文件

3. SNMP协定的安全问题及保障措施

港口:UDP 161/162

简单网络管理协议(英语:Simple Network Management Protocol,SNMP)是用于支持网络管理系统的一种协议。
SNMP协议广泛应用于各种网络设备、软件和系统,被认为是最理想的管理协议。
SNMP的主要作用是控制路由器、网络桥梁和其他用于读取/写入各种设备信息的网络单元,例如操作系统、版本、路由表、默认TTL、流量统计、接口名称和ARP映射表,其中一些是非常敏感的。

SNMP v1和v2版本的安全问题

• SNMPv1和v2中代理可被多个管理站管理，管理站合法性认证依靠团体名和源地址检查。团体名为固定长度字符串，易被穷举攻击。
• SNMP数据被加密为UDP,攻击者可以嗅觉和听觉,捕捉管理站与控制设备之间的相互作用信息,并获取SNMP消息中所写的组名。
• 攻击者可以通过嗅觉和监视来对控制装置进行恶意改组、延迟和重载消息数据,然后通过嗅觉和监视将控制消息从控制站发送到控制系统。

防护措施

• 如果不需要, SNMP代理被关闭,SNMP服务不会提供。
• 修改丢失的设备组名,将它设置为相对复杂的SNMP组名。
• 管理站的IP地址是有限的,只有SNMP管理站的IP地址才能启动SNMP请求。
• 设置访问控制以限制使用TFTP、FTP和RCP下载的文件。
• SNMP已经在V3版本发布,其认证和加密机制得到了改进。

3.《卫生防护署协定》的安全问题及保障措施

港口:UDP67/68

动态主机配置协议(英语:Dynamic Host Configuration Protocol,DHCP)是一种分配IP地址和提供其他信息的协议,用于启动计算机。

1. 提供动态建立IP地址和配置参数的机制;
2. 能够提供大量信息；
3. 服务器提供集中管理IP地址,并简化管理任务。

• 由于安全原因, 该协议只能在本地网络上使用.
• 由于DHCP服务器通常不认证查询消息,查询响应易受中间人攻击和拒绝服务(DoS)攻击。
• 此外,攻击者可以使用假的DHCP服务器来抑制合法服务器,提供查询的响应,并引起各种类型的攻击。

3.16,《323协定》的安全问题及保障措施

H.323是VoIP(Voice over IP)的标准,用于提供实时的音频、视频和数据通信(NetMeeting)。

安全问题

• 拒绝服务:请求在通信过程中使用H。 323协议的端口打开一个特定端口,它处于监视状态,容易受到DoS攻击。
• 登记劫持:攻击者在登记链接中截获终端的识别信息,发送取消信息到门户,并登记为合法用户。
• 中断会话: 控制和管理会话的命令是书面发送的,攻击者可以截获和伪造会话的末端包,迫使合法用户会话中断。

3.SIP协定的安全问题及保障措施

Session Initiation Protocol (SIP)是一个由IETF开发的基于文本的多媒体通信协议(如VoLTE)。

安全问题
登记劫持、伪造服务器、信息操作、恶意修改或终止对话、拒绝服务

防护措施
网络层和传输层的安全保护;HTTP摘要认证;应用程序层层加密。

3.NTP协议的安全问题及保障措施

港口:UDP123

网络时间协议（Network Time Protocol，NTP）可在分布式时间服务器和客户端之间进行时间同步。

安全问题

• 修改系统时间以转换已过期或取消的证书为有效的证书.
• 修改系统时间以无效链接DNSSEC服务器的用户键和签名。
• 运行时间标记测试以实现重新启动攻击的目的.
• 伪造主机向NTP服务器发送常用调用请求,并发动DoS攻击。

防护措施

• 使用密码技术验证消息
• 验证本地时间源与其他时间源的连接,直到根时间源
• 管理员已合理配置NTP端口拒绝外部跟踪请求

3.FINGER协定的安全问题及保障措施

端口：UDP 79

指纹协议可以帮助用户查询系统中的用户信息,如其姓名、地址、电话号码、登录信息等。

安全问题

• 使用指纹协议获取的用户信息或用户登录信息可以被黑客用来调查和检测潜在的攻击目标。
• 它提供的信息很可能被黑客用来进行代码推测攻击。
• 黑客可以找到用户最近连接的实体,哪些实体可能成为潜在的攻击目标;他们也可以找到用户最终使用的账户。

防护措施

• 使用防火墙防止它运行.
• 关闭手指后端程序, 或限制手指协议的功能.

3.whois协议的安全问题及保障措施

端口：TCP 43

Whois协议是用来查询域名的IP以及所有者等信息的传输协议。
Whois查询

3.LDAP协议的安全问题及保障措施

港口:TCP 389

轻量级目录访问协议（Lightweight Directory Access Protocol,LDAP）是基于X.500的目录访问协议，以目录的形式来管理资源。
信息数据:适合存储小数据操作
目录访问:提供基于属性的目录访问
可读:可读于其他应用程序
应用程序友好的加载:添加自定义应用程序的LDAP支持
跨平台访问:可以提供跨平台访问

协议用途

• 使用LDAP来替换地址簿
• 提供使用LDAP协议查询目录数据,实现数字证书的检索

防护措施

• 用户身份验证:确保客户的身份与客户声明的相同
• 数据完整性:确保服务器接收的数据不会被篡改
• 数据保密:在可能被暴露的地方加密数据
• 用户授权:确保用户请求在用户授权范围内被允许

3.NNTP协定的安全问题及保障措施

港口:TCP 119

网络新闻传输协议(英语:Network News Transfer Protocol,NNTP)是一个用于读取和发送新闻文章到Useret的互联网应用程序协议。

网络消息通常通过网络消息传输协议NNTP进行传输，采用的会话与SMTP相类似，接收和发送的消息条目通过网关来处理和转发。这种协议只用来阅读新闻。

安全性缺陷

• 网络消息是非常昂贵的系统资源
• 所有这些程序可能具有安全漏洞
• 许多防火墙结构假设在设计时门户可能会受到攻击
• 如果NNTP中有发送消息的漏洞,则主机的机会是危险的

防护措施
增加邻接节点的认证,从而拒绝恶意连接请求

本文由 在线网速测试 整理编辑，转载请注明出处。