向內網ARP威脅宣戰 Newdon打造安全網絡
責編：admin ｜2014-12-16 14:09:05網絡蠕蟲病毒泛濫、ARP攻擊不斷、網絡資料被耗占，倒致用戶抱怨領導責難，管理者疲于奔命筋疲力盡，專業技術卻依然受到很大質疑……面臨這種景況，估計每一位網絡管理者都會長嘆：如果沒有這些蠕蟲病毒、沒有造成網絡紊亂的ARP程序、所有用戶都能循規蹈矩正常使用網絡……那該多好?？墒牵谟嬎銠C網絡蓬勃發展的今天，要想主觀消除這些威脅無疑于天方夜談，唯一有效的方法是利用紐盾科技的NEWDON NDM產品打造一個銅墻鐵壁的通信網絡，使蠕蟲病毒和ARP威脅無處遁形。
首先我們了解一下ARP協議。ARP協議是“Address Resolution Protocol”(地址解析協議)的縮寫。在以太網中，一個主機要和另一個主機進行直接通信，必須要知道目標主機的MAC地址。但這個目標MAC地址是如何獲得呢？它就是通過地址解析協議獲得的。所謂“地址解析”就是主機在發送幀前將目標IP地址轉換成目標MAC地址的過程。ARP協議的基本功能就是通過目標設備的IP地址，查詢目標設備的MAC地址，以保證通信的順利進行。
我們再來了解一下ARP攻擊與ARP欺騙。ARP攻擊就是通過偽造IP地址和MAC地址實現ARP欺騙，能夠在網絡中產生大量的ARP通信封包使網絡阻塞，攻擊者只要持續不斷的發出偽造的ARP響應包就能更改目標主機ARP緩存中的IP-MAC條目，造成網絡中斷或中間人攻擊。ARP攻擊主要是存在于局域網絡中，局域網中若有一個人感染ARP木馬，則感染該ARP木馬的系統將會試圖通過“ARP欺騙”手段截獲所在網絡內其它計算機的通信信息，并因此造成網內其它計算機的通信故障。從影響網絡連接通暢的方式來看，ARP欺騙分為兩種，一種是對路由器ARP表的欺騙；另一種是對內網PC的網關欺騙。第一種ARP欺騙的原理是——截獲網關數據。它通知路由器一系列錯誤的內網MAC地址，并按照一定的頻率不斷進行，使真實的地址信息無法通過更新保存在路由器中，結果路由器的所有數據只能發送給錯誤的MAC地址，造成正常PC無法收到信息。第二種ARP欺騙的原理是——偽造網關。它的原理是建立假網關，讓被它欺騙的PC向假網關發數據，而不是通過正常的路由器途徑上網。在PC看來，就是網絡掉線了。 一般來說，ARP欺騙攻擊的后果非常嚴重，大多數情況下會造成大面積掉線。
通過對ARP協議的了解，與ARP攻擊/欺騙的工作原理的分析，大家可能都很清楚：保持路由器/交換機及PC的ARP表的正確性，保持正確的ARP信息不被修改，是非常重要的，也是徹底解決ARP問題的關鍵。再次，了解網絡異常狀態，自動隔離感染ARP病毒的PC和惡意的攻擊破壞者，這都是每個網絡管理者所期盼的。
針對于網絡ARP威脅，我們推薦一款利器：上海紐盾科技的NEWDON NDM網絡異常檢測器。NEWDON NDM以實時偵測、即時通知、自動鎖定、治療復原為設計理念，以MAC-IP資料庫為基本手段，對網絡中的廣播、組播及單播封包進行檢測，可以解決ARP偵測、ARP攻擊偵測、ARP異常偵測、強制DHCP、主機服務管制、DNS釣魚偵測、廣播風暴阻止……等危害網絡安全的常見問題。
NEWDON NDM為一款多功能整合型的網絡資源暨威脅管理產品，以探針的方式學習或探測或管理內網VLAN內部廣播異常的封包，它不同于部署在網關上的安全產品，可廣泛探測網絡內部各角落(VLAN)的異常網絡行為，以期盡早偵測尚未被探測出特征的病毒或黑客攻擊。NEWDON NDM是可應用于任何網絡環境的封包檢測器，檢測骨干網絡內各個Layer 2層VLAN內網絡是否有異常ARP攻擊，并可檢查使用者是否有不符合規定的網絡行為。
NEWDON NDM主要目的：
MAC/IP 存取安全管理
MAC/IP 存取安全管理 – 自動學習VLAN內MAC、IP及使用者計算機名稱，供管理者快速建立網絡使用者數據庫，自動偵測MAC/IP地址的新增、異常及沖突事件功能，并將相關系統信息儲存于數據庫系統。
？實施綁定 – MAC、IP綁定的網絡存取安全策略，以防止使用者私自攥改IP發生IP沖突的問題。避免個人計算機與重要設備、服務器的網絡IP地址沖突，以保障重要設備或服務器的服務。
數據管理 – 系統支持單筆數據的維護外并提供整個數據庫的導入、導出、清除管理。系統也支持SNMP Private MIB提供網管軟件或其它管理軟件的存取接口。
DHCP IP地址管理
DHCP容錯服務器 – 內建DHCP服務器功能，提供授權與非授權兩種類型的DHCP服務，并支持兩臺設備互為備援機制的功能。
MAC/IP綁定派送 – DHCP服務器除支持標準DHCP IP租賃服務，可定義IP Range for multiVLANs，并整合授權的MAC/IP數據庫，提供MAC/IP綁定派送功能，以確定要求路服務節點為合法的計算機設備后，由DHCP派發特定的IP。
派發記錄與例外管理 – 提供DHCP派發歷史記錄查詢及導出功能。本系統也可由管理者自定IP派發政策，可區分為固定IP用戶及或由系統自行派發等，可例外管理部份的私設固定IP?？蛻舳薉HCP管理 – (1)私設DHCP服務器阻斷 – LAN環境內私自架設不合法DHCP Server會被NEWDON NDM阻隔無效；(2)DHCP強制 – 可限制端點只能使用DHCP方式取得IP，任何私自設定IP地址的終端設備無論所設定IP地址是否為合法IP皆禁止其使用網絡。
異常偵測管理
ARP掃描偵測 –設定ARP掃描基線值，偵測用戶執行掃描時，累計值是否超過基線值，超過時可根據封鎖類型進行動作。
ARP異常偵測 – 偵測器提供局域網內ARP欺騙攻擊偵測功能包括：ARP 掃描偵測 – 可偵測LAN內部ARP掃描行為；ARP異常偵測 – 則是偵測LAN內部哪些用戶送一些不合法封包；ARP攻擊偵測 – 主要目的是偵測出哪些用戶遭受攻擊。
廣播風暴偵測 – 可偵測局域內網VLAN是否有超過異常廣播發生，并通知管理者。
遠程防衛 – NEWDON NDM 可以檢測非法/入侵地址，或分析Worm蠕蟲、DoS攻擊，這時NEWDONNDM 可立即啟動端點防衛功能模塊，來抑制阻止這些非法入侵。端點防衛并非封鎖特定的交換機端口，而是直接抑制入侵者(非法使用)的終端對網絡的使用，因此即使入侵者使用的終端具備移動的特性，仍然逃不過端點防衛的封鎖，而且也不需改變任何網絡架構或作復雜的設定。
我們全面了解一下NEWDON NDM在網絡中的部署情況及預期效益：
1、 部署方式。NEWDON NDM單臂旁接在核心交換機，不用更改現有網絡結構，也勿需安裝客戶端。
2、 運作模式。NEWDON NDM以探針的形式，自動學習/維護VLAN內的MAC/IP對應表，維護MAC/IP數據庫，可以由網絡管理者執行綁定、拒絕等策略，不用在交換機及PC上安裝、執行相關軟件或策略，即可輕松掌握及管理網絡MAC/IP數據庫。
3、 特色功能：NEWDON NDM不同于市面上一般的IPAM產品；除擁有常見的功能外，NEWDON NDM還具有ARP攻擊偵測、異常偵測等功能，根據預設動作自動以郵件、短信等方式通知網絡者，并自動鎖定攻擊源，切斷其聯線，將網絡威脅及風險降到最低。
4、 預期效益： 24*7的不間斷監控，就好像在企業網絡植入隱形芯片追蹤，隨時掌握狀況，化解未知威脅。這樣的做法，能夠在第一時間內主動防御隔離，在災害未發生或規模不大時，就將問題解決，協助網絡管理者偵測越來越多的未知型威脅與病毒。
在SARS疫情逐漸擴散期間，各國各地區都成功避免SARS成為全球性的災難，雖然最后仍然沒有解毒疫苗，但還是成功采取策略解決危機。其中最重要的策略就是實時檢測溫度異常病患及有效的隔離措施，使病毒控制在一定的范圍。現在一旦某區域爆發變種疫情，世界衛生組織會迅速提出這樣控制疫情、迅速隔離病患改善方案。同樣地，持續監控應是IT信息與網絡安全主要著眼點。
向ARP威脅宣戰，像隔離SARS一樣解決你網絡的ARP問題吧！