CDP协议安全隐患分析及防护.docVIP

CDP协议安全隐患分析及防护 CDP协议(Cisco发现协议)是一种工作在数据链路层上的协议，主要用来发现和查看相邻设备的简单配置信息。这也是思科网络设备默认启用的一种第二层协议，而且还是识别所连接设备详细信息的一种重要协议。在故障排错、性能优化等方面有着不可替代的作用。不过可惜的是，其也存在着一定的安全隐患。在这篇文章中，笔者就对CDP协议的功过得失作一个客观的评价，并对安全方面的问题给出一点建议。 　　一、CDP协议的工作原理 　　要了解CDP协议在安全上的漏洞，首先需要知道其工作的原理。通常情况下，CDP协议与现有的网络协议类型无关，其运行在路由器和交换机等网络设备上。一般来说，CDP协议可以运行在所有支持SNAP子网访问协议帧类型的介质中。通过在所有支持CDP协议的接口上向多播MAC地址发送周期性信息的方式，CDP协议就能够进行工作。其基本的原理就是通过利用邻接设备所发送的信息，设备能够学到所连接设备的相关信息。这里需要注意的是，在所有的CDP消息中，都含有相关网络设备的重要信息。如果这些信息泄露的话，就能够被攻击者所用，威胁企业网络的安全。这些有关安全的信息可能包括如下这些内容。 　　如网络地址、发送消息的端口或者接口信息、硬件平台、发送设备的功能、软件盘本等等。这些信息主要是被存放在TLV字段的嵌入部分。通常情况下这部分信息都是明文保存的，即没有采取加密的措施。只要能够获取这个信息的用户，通过一些工具就可以轻松的活得这些机密信息。 　　二、CDP协议给企业内网造成的安全隐患分析 　　确实在大部分情况下，CDP协议的作用是不可替代的。如在大多数网络中，CDP能够提供很多有用的信息并且可以协助管理员进行网络排错和性能优化。但是，其带来的安全隐患也不容忽视。如默认情况下，交换机是默认在所有的接口上发送系统信息(如上面所述，这些系统信息中包含一些敏感的信息并且是没有加密处理的)。为此攻击者可以通过网络嗅探器等工具轻松的获取这些信息。显而易见，CDP协议能够导致安全方面的问题。特别是等网络连接到多个组织机构的时候，这个安全隐患会更加的突出。不过各位用户也不必过于担心。如果出于安全考虑，将这个CDP协议废了，那也有点小题大做。现在网络管理员需要考虑的是，如何在安全与功能之间取得一个均衡。即能够享受CDP协议所带来的优势，而又不被其安全问题所困扰。如下图所示，笔者给出了一个示意图。 　　根据CDP协议的工作原理，我们可以知道，CDP协议所发送的信息中包含了一些比较敏感的信息。如果这些信息被不法分子获得的话，那么将给企业的网络带来很大的安全隐患。为此我们保护的重点就是如何让这些敏感的信息不被外人所知。故笔者的建议是，为了避免CDP协议泄露网络设备的相关系悉尼，可以只在企业内部网络的设备中启用CDP协议。而在连接到互联网的企业级边缘路由器上的接口上禁用CDP协议。如此的话，相关的敏感信息不会泄露到企业的外部网络上。在配合网络防火墙等功能，就可以保证CDP协议信息的安全。为此如上图所示，笔者建议，可以在连接到服务器提供商或者企业边缘路由器的接口上禁用CDP协议。其他地方如果有安全需要的话，可以根据情况来判断是否启用CDP协议。在可以的情况下，还是启用CDP协议为好。 　　三、开启或者禁用CDP协议 　　默认情况下，CDP协议是开启的。出于安全考虑，安全专员可能需要在某些特定的接口上禁用CDP协议。要做到这一点，从操作上说并没有多少难度。主要还在于需要根据上面提到的原则来判断在哪些接口上要禁用CDP协议。如果禁用的多了，那么CDP协议将不能够发挥其应有的作用。相反，如果开启的多了，那么就会造成比较严重的安全隐患。是开还是关，这就需要安全专员根据实际情况来进行权衡。如根据企业对于安全的重视程度、企业的行业性质等等来进行判断。 　　另外在禁用CDP协议的时候，安全专员还可以选择是使用全局性禁用，还是以每个接口为基础进行禁用。如对于安全级别比较高的行业，像金融行业，他们可能在整个企业网络中都会禁用CDP协议。此时就只需要使用全局性禁用的策略即可。如此的话，只需要在一台交换机或者路由器上操作一次即可。而像大部分行业，其只需要在特定的接口上禁用CDP协议，如在企业边缘路由器上禁用CDP协议。在这种情况下，需要选择以每个接口为基础进行禁用CDP协议。 　　如果安全专员需要在全局性的禁用CDP协议，可以在某台交换机上使用如下命令来完成：no cdp run。这个命令运行完毕后，网络内的所有设备(包括交换机与路由器)的CDP协议都将被禁用掉。由于这个命令会影响到多台网路设备，为此在使用时需要慎重。注意这个命令只有在IOS软件上有效。如果需要在CATOS软件上使用的话，则需要通过命令set dp disable来实现。两者效果是一样的，只是语法上稍有不同