信息安全-网络设备安全(二）
一、交换机安全威胁
集线器是第一代交换机，工作于OSI (开放系统互联参考模型)的物理层，主要功能是对接收到的信号进行再生整形放大，延长网络通信线路的传输距离，同时，把网络中的节点汇聚到集线器的一个中心节点上，集线器会把收到的报文向所有端口转发
第二代交换机又称以太网交换机，工作于OSI的数据链路层，称为二层交换机。二层交换机识别数据中的MAC地址信息，并根据MAC地址选择转发端口 第三代交换机俗称三层交换机，针对ARP/DHCP等广播报文对终端和交换机的影响，三层交换机实现了虚拟网络(VLAN)技术来抑制广播风暴，将不同用户划分为不同的VLAN，VLAN之间的数据包转发通过交换机内置的硬件路由查找功能完成，三层交换机工作于OSI模型的网络层 第四代交换机为满足业务的安全性、可靠性、QoS等需求，在第二、第三代交换机功能的基础上新增业务功能，如防火墙、负载均衡、IPS等。这些功能通常由多核CPU实现 第五代交换机通常支持软件定义网络(SDN)，具有强大的QoS能力 交换机面临的网络安全威胁主要有
MAC地址泛洪(Flooding)：通过伪造大量的虚假MAC地址发往交换机，由于交换机的地址表容量的有限性，当交换机的MAC地址表被填满之后，交换机将不再学习其他MAC地址 ARP欺骗：攻击者可以随时发送虚假ARP包更新被攻击主机上的ARP缓存，进行地址欺骗，干扰交换机的正常运行 口令威胁：攻击者利用口令认证机制的脆弱性，如弱口令、通信明文传输、口令明文存储等，通过口令猜测、网络监听、密码破解等技术手段获取交换机口令认证信息，从而非授权访问交换机设备 漏洞利用：攻击者利用交换机的漏洞信息，导致拒绝服务、非授权访问、信息泄露、会话劫持
漏洞利用：网络设备厂商的路由器漏洞被攻击者利用，导致拒绝服务、非授权访问、信息泄露、会话劫持、安全旁路 口令安全威胁：路由器的口令认证存在安全隐患，导致攻击者可以猜测口令，监听口令，破解口令文件 路由协议安全威胁：路由器接收恶意路由协议包，导致路由服务混乱 DoS/DDoS威胁：攻击者利用TCP/IP协议漏洞或路由器的漏洞，对路由器发起拒绝服务攻击。攻击方法有两种
一是发送恶意数据包到路由器，致使路由器处理数据不当，导致路由器停止运行或干扰正常运行 二是利用僵尸网络制造大的网络流量传送到目标网络，导致路由器处理瘫痪
依赖性威胁：攻击者破坏路由器所依赖的服务或环境，导致路由器非正常运行。例如，破坏路由器依赖的认证服务器，导致管理员无法正常登录到路由器
第一级通过控制用户的连接实现：配置交换机ACL对登录用户进行过滤，只有合法用户才能和交换机设备建立连接。 第二级通过用户口令认证实现：连接到交换机设备的用户必须通过口令认证才能真正登录到设备。为防止未授权用户的非法侵入，必须在不同登录和访问的用户界面设置口令，同时设置登录和访问的默认级别和切换口令。
如果用户设置的值为count，则该端口学习到的MAC地址条数达到count时，该端口将不再对MAC地址进行学习。 。缺省情况下，交换机对于端口最多可以学习到的MAC地址数目没有限制
如果用户设置的老化时间过长，以太网交换机可能会保存许多过时的MAC地址表项，从而耗尽MAC地址表资源，导致交换机无法根据网络的变化更新MAC地址表。 如果用户设置的老化时间太短，以太网交换机可能会删除有效的MAC地址表项。 一般情况下，推荐使用老化时间age的默认值300秒。
源地址声称来自内部网 loopback数据包 ICMP重定向包 广播包 源地址和目标地址相同
启用路由器的IPSec功能，对路由器之间传输的信息进行加密。 借助IPSec，路由器支持建立虚拟专用网(VPN)，因而可以用在公共IP网络上确保数据通信的保密性。 由于IPSec的部署简便，只须安全通道两端的路由器支持IPSec协议即可，几乎不需要对网络现有的基础设施进行变动。
拒绝服务漏洞：拒绝服务漏洞将导致网络设备停止服务，危害网络服务可用性 跨站伪造请求CSRF (Cross-Site Request Forgery) 格式化字符串漏洞 XSS (Cross-Site Scripting) 旁路(Bypass something)：旁路漏洞绕过网络设备的安全机制，使得安全措施没有效果。 代码执行(Code Execution)：该类漏洞使得攻击者可以控制网络设备，导致网络系统失去控制，危害性极大。 。溢出(Overflow)：该类漏洞利用后可以导致拒绝服务、特权或安全旁路 内存破坏(Memory Corruption)：内存破坏漏洞利用常会对路由器形成拒绝服务攻击。
端口扫描工具：利用Nmap工具，可以查看网络设备开放的端口或服务 通用漏洞扫描器：使用Shadow Scanner、OpenVAS、Metasploit可以发现网络设备漏洞。 专用漏洞扫描器：Cisco Torch、CAT(Cisco Auditing Tool) 可以检查Cisco路由设备常见的漏洞。
修改配置文件：用户调整网络设备配置就可修补漏洞，常见漏洞是默认口令、开放不必要的服务、敏感数据未加密等。 安全漏洞利用限制：针对网络设备的安全漏洞触发条件，限制漏洞利用条件。例如，利用网络设备访问控制，限制远程计算机访问网络设备。 服务替换：针对网络设备的非安全服务，使用安全服务替换。如使用SSH替换Telnet，启用IPSec服务。 软件包升级：针对网络设备的软件实现产生的漏洞，通过获取厂商的软件包，升级网络设备的软件。