向内网ARP威胁宣战 NBAD打造安全网络

　　网络蠕虫病毒泛滥、ARP攻击不断、网络资料被耗占，倒致用户抱怨领导责难，管理者疲于奔命筋疲力尽，专业技术却依然受到很大质疑……面临这种景况，估计每一位网络管理者都会仰天长叹：如果没有这些蠕虫病毒、没有造成网络紊乱的ARP程序、所有用户都能循规蹈矩正常使用网络……那该多好!可是，在计算机网络蓬勃发展的今天，要想主观消除这些威胁无疑于天方夜谈;唯一有效的是打造一个铜墙铁壁般的网络，使蠕虫病毒和ARP威胁无处遁形!

　　首先我们先了解一下ARP协议。ARP协议是“Address Resolution Protocol”(地址解析协议)的缩写。在以太网中，一个主机要和另一个主机进行直接通信，必须要知道目标主机的MAC地址。但这个目标MAC地址是如何获得的呢?它就是通过地址解析协议获得的。所谓“地址解析”就是主机在发送帧前将目标IP地址转换成目标MAC地址的过程。ARP协议的基本功能就是通过目标设备的IP地址，查询目标设备的MAC地址，以保证通信的顺利进行。

　　我们再来了解一下ARP攻击与ARP欺骗。ARP攻击就是通过伪造IP地址和MAC地址实现ARP欺骗，能够在网络中产生大量的ARP通信量使网络阻塞，攻击者只要持续不断的发出伪造的ARP响应包就能更改目标主机ARP缓存中的IP-MAC条目，造成网络中断或中间人攻击。ARP攻击主要是存在于局域网网络中，局域网中若有一个人感染ARP木马，则感染该ARP木马的系统将会试图通过“ARP欺骗”手段截获所在网络内其它计算机的通信信息，并因此造成网内其它计算机的通信故障。从影响网络连接通畅的方式来看，ARP欺骗分为二种，一种是对路由器ARP表的欺骗;另一种是对内网PC的网关欺骗。 第一种ARP欺骗的原理是——截获网关数据。它通知路由器一系列错误的内网MAC地址，并按照一定的频率不断进行，使真实的地址信息无法通过更新保存在路由器中，结果路由器的所有数据只能发送给错误的MAC地址，造成正常PC无法收到信息。第二种ARP欺骗的原理是——伪造网关。它的原理是建立假网关，让被它欺骗的PC向假网关发数据，而不是通过正常的路由器途径上网。在PC看来，就是上不了网了，“网络掉线了”。 一般来说，ARP欺骗攻击的后果非常严重，大多数情况下会造成大面积掉线。

　　通过对ARP协议的了解，与ARP攻击/欺骗的工作原理的分析，大家可能都很清楚：保持路由器/交换机及PC的ARP表的正确性，保持正确的ARP信息不被修改，是非常重要的，也是彻底解决ARP问题的关键。再次，即时了解网络异常状态，自动隔离感染ARP病毒的PC和恶意的攻击破坏者，这都是每个网络管理者所企盼的。

　　针对于网络ARP威胁，我们推荐一款利器：正邦科技的NBADsensor——ARP威胁及异常侦测探测器。NBADsensor以实时侦测、即时通知、自动锁定、治疗复原为设计理念，以MAC-IP资料库为基本手段，对网络中的广播、组播及单播封包进行检测，可以解决IPscan侦测、Attack侦测、Anomaly侦测、强制DHCP、主机服务管制、DNS钓鱼侦测、广播风暴阻止……等危害网络安全的常见问题。

　　

　　

　　

　　NBAD sensor为一个多功能整合型的网络资源暨威胁管理的解决方案产品，以探针的方式学习或探测或管理内网VLAN内部广播异常的封包，它不同于市面上一般布署在网关上的安全产品，可广泛探测网络内部各角落(VLAN)的异常网络行为，以期即早侦测或发现那些尚未被探测出特征的病毒或黑客攻击。NBAD sensor/analyzer 包含有两大可独立运作的部分：(一)NBADsensor - 是可应用于任何网络环境支持IEEE 802.1Q的封包检测器(packet sensor)，此设备不仅可以检测骨干网络内各个Layer 2层VLAN内网络是否有异常ARP攻击，并可检查使用者是否有不符合规定的网络行为。(二) NBADmanager plus 为一个独立服务器可集中管理多个NBADsensor，功能包括：中央管理MAC/IP数据库收集、侦测与管理功能，ARP侦测功能 - 侦听、封锁、网络控制。

　　NBADsensor –内建ASIC芯片含有16Gbps封包复制、转送、检测、分流的能力，以支持所提供8个10/100/1000M以太网络接口，借以线速的效能执行网络流量封包学习及检测的功能。NBADsensor主要目的：

　　MAC/IP 存取安全管理

　　·MAC/IP 存取安全管理 - 自动学习 –VLAN内MAC、IP及使用者计算机名称收集，供管理者容易快速建立网络使用者数据库，并可自动侦测MAC/IP地址的新增、异常及冲突事件功能，并可将相关系统信息储存于数据库管理系统。

　　·实施绑定 – MAC、IP绑定的网络存取安全策略，以防止使用者私自攥改IP发生IP冲突的问题。避免个人计算机与重要设备、服务器的网络IP地址冲突，以保障重要设备或服务器的服务。

　　·数据管理 – 系统支持单笔数据的维护外并提供整个数据库的汇入、汇出、清除管理。系统也支持SNMP Private MIB提供网管软件或其它类似NBADmanager管理软件的存取接口。

　　DHCP IP地址管理

　　·DHCP容错服务器 –内建DHCP服务器功能，提供授权与非授权两种型态的DHCP服务，并支持两台设备互为备援机制的功能。

　　·MAC/IP绑定派送 – DHCP服务器除支持标准DHCP IP租赁服务，可定义IP Range for multi VLANs，并整合授权的MAC/IP数据库，提供MAC/IP绑定派送功能，以确定要求路服务节点为合法的计算机设备后，由DHCP派发特定的IP。

　　·派发记录与例外管理 –提供DHCP派发历史记录查询及汇出功能。本系统也可由管理者自定IP派发政策，可区分为固定IP用户及或由系统自行派发等，可例外管理部份的私设固定IP。

　　·客户端DHCP管理 – (1)私设DHCP服务器阻断 - LAN环境内私自架设不合法DHCP Server会被NBADsensor阻隔无效;(2)DHCP强制 - 可限制端点只能使用DHCP方式取得IP，任何私自设定IP地址的终端设备无论所设定IP地址是否为合法IP皆禁止其使用网络。