河南安阳师范学院数字化校园信息化建设方案 - 图文(6)

通过部署IP、MAC、端口绑定和IP+MAC绑定（只需简单的一个命令就可以实现）。并实现端口反查功能，追查源IP、MAC访问，追查恶意用户。有效的防止通过假冒源IP/MAC地址进行网络的攻击，进一步增强网络的安全性。

并且此功能可直接在接入层交换机上实现，真正做到了安全控制到边缘！ （3）非法组播源的屏蔽

接入层交换机均支持IMGP源端口检查，实现全网杜绝非法组播源，指严格限定IGMP组播流的进入端口。当IGMP源端口检查关闭时，从任何端口进入的视频流均是合法的，交换机会把它们转发到已注册的端口。当IGMP源端口检查打开时，只有从路由连接口进入的视频流才是合法的，交换机把它们转发向已注册的端口；而从非路由连接口进入的视频流被视为是非法的，将被丢弃。产品支持IGMP源端口检查，有效控制非法组播，实现全网杜绝非法组播源，更好地提高了网络的安全性和全网的性能，同时可以有效杜绝以组播方式的传播病毒.而且也是网络带宽合理的分配所必须的。同时IGMP源端口检查，具有效率更高、配置更简单、更加实用的特点，更加适用于大规模网络应用环境。

以上可直接在接入交换机上部署，保证了组播应用的安全性，同时也提高了网络性能！ （4）对DHCP攻击的控制

方式一、非法DHCP Server，为合法用户的IP请求分配不正确的IP地址、网关、DNS等错误信息，不仅影响合法用户的正常通讯，还导致合法用户的信息都发往非法DHCP Server，严重影响合法用户的信息安全。

方式二、恶意用户通过更换MAC地址的方式向DHCP Server发送大量的DHCP请求，以消耗DHCP Server可分配的IP地址为目的，使得合法用户的IP请求无法实现。

接入层交换机均可对以上两种方式进行有效控制： ? 可检查和控制DHCP响应报文合法性

? 可遏制恶意用户不断更换MAC地址的DHCP请求 （5）对DOS攻击，扫描攻击的屏蔽

通过接入层设备部署防止DOS攻击，扫描攻击，能够有效的避免这二种攻击行为，节省了网络带宽，避免了网络设备、服务器遭受到此类攻击时导致的网络中断。

第 25 页 共 73 页

（6）对网络病毒的控制

对于常见的比如冲击波、振荡波、ARP病毒等对网络危害特别严重的网络病毒，本次投标的所有接入层交换机内置了丰富的AC功能，能够对这些病毒进行防范，一旦某个用户不小心感染上了这种类型的病毒，不会影响到网络中的其他用户，保证了带宽的有效利用。 最有效的防病毒配置文件如下： ip access-list extended lan deny udp any any eq 136 deny udp any any eq netbios-ns deny udp any any eq netbios-dgm deny udp any any eq netbios-ss deny udp any any eq 445 deny udp any any eq 593 deny udp any any eq 1434 deny tcp any any eq 135 deny tcp any any eq 136 deny tcp any any eq 137 deny tcp any any eq 138 deny tcp any any eq 445 deny tcp any any eq 593 deny tcp any any eq 4444 deny tcp any any eq 5800 deny tcp any any eq 5900 deny tcp any any eq 6667 deny tcp any any eq 5554 deny tcp any any eq 9996 permit ip any any 端口135

服务Location Service

第 26 页 共 73 页

说明Microsoft在这个端口运行DCE RPC end-point mapper为它的DCOM服务。这与UNIX 111端口的功能很相似。使用DCOM和RPC的服务利用计算机上的end-point mapper注册它们的位置。远端客户连接到计算机时，它们查找end-point mapper找到服务的位置。HACKER扫描计算机的这个端口是为了找到这个计算机上运行Exchange Server吗？什么版本？还有些DOS攻击直接针对这个端口。

端口137、138、139 服务NETBIOS Name Service

说明其中137、138是UDP端口，当通过网上邻居传输文件时用这个端口。而139端口通过这个端口进入的连接试图获得NetBIOS/SMB服务。这个协议被用于windows文件和打印机共享和SAMBA。还有WINS Regisrtation也用它。 端口445

说明：445端口和139端口一样，都是用来开启SMB服务的端口。在2000系统里，445开启NBT（共享文件）服务，利用它，你才能看见网上邻居上的其他电脑，利用这个端口可以获取主机的相关信息。互联网上的蠕虫病毒以及其他病毒，利用这个端口对该机以外的其他机器进行病毒传播。在远程控制方面这个端口作用不是特别大，但是病毒传播的效果是很明显的。

应该封闭这些端口，主要有：TCP 135、139、445、593、1025 端口和 UDP 135、137、138、445 端口，一些流行病毒的后门端口（如 TCP 2745、3127、6129 端口），以及远程服务访问端口3389、4444端口 5800，5900端口

首先说明5800，5900端口是远程控制软件VNC的默认服务端口，但是VNC在修改过后会被用在某些蠕虫中。

请先确认VNC是否是你自己开放并且是必须的，如果不是请关闭 关闭的方法：

1、首先使用fport命令确定出监听在5800和5900端口的程序所在位置（通常会是c:Winntfont***plorer.exe)

2、在任务管理器中杀掉相关的进程（注意有一个是系统本身正常的，请注意！如果错杀可以重新运行c:Winntexplorer.exe)

3、删除C:Winntfonts中的explorer.exe程序。

4、删除注册表HKEY_LOCAL_MACHINESoftwareMicrosoftWindows CurrentVersi......

第 27 页 共 73 页

（7）对未知网络病毒的防范

对于未知的网络病毒，通过接入交换机部署基于数据流类型的带宽控制功能，为不同的网络应用分配不同的网络带宽，保证了关键应用比如视频会议、视频监控、管理数据流有足够可用的带宽，当新的病毒产生时，不会影响到主要网络应用的运行，从而保证了网络的高可用性。

4.4、网络设备自身安全加固

网络系统安全主要考虑以下几个方面：路由安全、接入安全、访问控制和监测、日志记录、业务隔离等方面。

4.4.1、路由认证和保护

路由认证（Routing Authentication），就是运行于不同设备的相同的动态路由协议之间，对相互传递的路由刷新报文进行的确认，以便使得设备能够接受真正而安全的路由刷新报文。

任何运行一个不支持路由认证的路由协议，都存在着巨大的安全隐患。某些恶意的攻击者可以利用这些漏洞，向网络发送不正确或者不一致的路由刷新，由于设备无法证实这些刷新，而使得设备被欺骗，最终导致网络的瘫痪。

目前，多数路由协议支持路由认证，并且实现的方式大体相同。认证过程有基于明文的，也有基于更安全的MD5校验。

MD5认证与明文认证的过程类似，只不过密钥不在网络上以明文方式直接传送。路由器将使用MD5算法产生一个密钥的“消息摘要”。这个消息摘要将代替密钥本身发送出去。这样可以保证没有人可以在密钥传输的过程中窃取到密钥信息。使用MD5认证算法的路由协议有：

? OSPF ? RIP版本2 ? BGP4

? OSPFv2 路由认证

为了保证网络路由协议的安全，在路由协议配置时必须配置OSPF的认证，建议采用MD5认证。