針對網(wǎng)絡(luò)層的攻擊，主要有IP碎片攻擊、ARP 欺騙等；由于TCP協(xié)議與UDP協(xié)議是傳輸層最主要的兩個協(xié)議，因此針對傳輸層的攻擊非常多，包括DOS攻擊等；而應(yīng)用層的協(xié)議是整個協(xié)議棧最多的，因此針對該層的攻擊數(shù)量極為龐大，常見的如 DNS 欺騙等。
ARP攻擊
ARP（Address Resolution Protocol，地址解析協(xié)議），將網(wǎng)絡(luò)主機的 IP 地址解析成 MAC 地址，每臺主機設(shè)備上都擁有一個 ARP 緩存（ARP Cache），通過檢查自己的 ARP 緩存，然后進行判斷（如果有，可以直接映射；如果無，可以廣播 ARP 請求包）；之后檢查數(shù)據(jù)包中的目標 IP 地址是否與自己的IP地址一致，如果一致，可以發(fā)送 ARP 響應(yīng)，告知 MAC 地址；當源節(jié)點在收到 ARP 響應(yīng)數(shù)據(jù)包后，可以將得到的目標主機 IP 地址和 MAC 地址對映射表項添加至自己的 ARP 緩存中。 ARP協(xié)議工作原理ARP 攻擊就是通過偽造 IP 地址和 MAC 地址來實現(xiàn) ARP 欺騙，通過在網(wǎng)絡(luò)中制造大量的 ARP 通信量使網(wǎng)絡(luò)阻塞，攻擊者只要持續(xù)不斷的發(fā)出偽造的 ARP 響應(yīng)包就能更改目標主機 ARP 緩存中的 IP-MAC 條目，造成網(wǎng)絡(luò)中斷或中間人攻擊，因此 ARP 攻擊通常也被稱作ARP欺騙。盡管ARP攻擊僅能在以太網(wǎng)進行且門檻很低，造成的影響卻很大，比如會出現(xiàn)斷網(wǎng)攻擊、流量被限、賬號被盜等情況。網(wǎng)絡(luò)運維可以采取ARP防御機制，比如通過在交換機部署網(wǎng)絡(luò)鏡像，抓取可疑數(shù)據(jù)包分析，也可以結(jié)合DHCP偵聽、IP源防護等技術(shù)，維護網(wǎng)絡(luò)安全。
簡單來說，DoS（Denial of Service）拒絕服務(wù)攻擊通常使用數(shù)據(jù)包淹沒本地系統(tǒng)，以打擾或嚴重阻礙本地的服務(wù)響應(yīng)外來合法的請求，使本地系統(tǒng)奔潰。SYN flood 攻擊是最常見的 DoS 攻擊類型。攻擊者將自身 IP 源地址進行偽裝，向本地系統(tǒng)發(fā)送 TCP連接請求；
解決SYN flood 的最好方法就是做好防范策略，通過網(wǎng)絡(luò)性能管理工具，自動篩選可疑數(shù)據(jù)包，縮短 SYN Timeout 時間，設(shè)置 SYN Cookie，為每一個請求設(shè)置Cookie，如果短時間內(nèi)收到某個IP的重復(fù)SYN報文，就認定為攻擊，拋棄該IP地址。
DNS 攻擊
IP協(xié)議為了將數(shù)據(jù)信息包從原設(shè)備傳送到目的設(shè)備，需要依賴IP地址與IP路由器。IP地址是機器語言，通常較長，所以盡管IP地址具有唯一性，但是不方便記憶與使用，人們便在此基礎(chǔ)上發(fā)明了DNS。DNS（Domain Name System）即域名系統(tǒng)，域名通常較短，兼具可讀性與實用性。由于域名與IP地址呈一一對應(yīng)關(guān)系，因此，上網(wǎng)時只需在地址欄輸入域名，系統(tǒng)會直接進行域名解析，將域名翻譯成IP地址。在執(zhí)行完域名搜索后，域名服務(wù)器會保存域名記錄，每條記錄都會包含域名與IP地址。如果域名服務(wù)器的某條地址被人為修改，那么就可以人為操作用戶的訪問地址，這種行為被稱為“域名劫持”?！坝蛎俪帧钡氖甲髻刚呤怯蛎?wù)器提供商，因此目前解決該問題的有效方法是棄用或換用域名服務(wù)器。除“域名劫持”外，還有另外一種常見的DNS攻擊叫做“域名污染”或“域名欺騙”。當電腦發(fā)送“域名查詢”至域名服務(wù)器后，域名服務(wù)器會將回應(yīng)發(fā)送回電腦，發(fā)送請求與接收信息是一個過程，中間會出現(xiàn)時間差，網(wǎng)絡(luò)攻擊會在接收信息前，偽造錯誤應(yīng)答至電腦，那么該信息即為錯誤IP。
下載文檔
