避免路由器攻击九大方法.pdf

合肥清默思科培训 网址： 如果问无线路由器为什么被攻击，则要从IP地址开始说起，假设计算机是一部电话机， 那么IP地址就相当于电话号码，IP地址分为公有地址与私有地址，多数 IP地址都位于公 网，但是有些IP地址仅保留给内部网络使用。也就是说任何人都可以在其局域网上使用且 仅能用于内部的IP地址。这些特定的IP地址是不允 许用在公网上的。但在将路由器用于 互联网上的通信时，它还使用另外一个不同的IP地址，即公网IP地址。路由器的管理员无 法控制公网IP地址， 它是由把路由器连接到互联网的ISP提供的。 这样一来，除非做到公网IP仅能被互联网上的计算机找到，而私有IP地址仅能被局域 网上的计算机看到，这样才能够筑起一道屏障，否则黑客们便可能登录进路由器，进而危及 到整个局域网的设备。 既然了解了我们的路由器容易遭遇攻击，那么该如何防备呢？在这里给出以下几点建 议： 1. 及时更新路由器操作系统：就像网络操作系统一样，路由器操作系统也需要更新， 以便纠正编程错误、软件瑕疵和缓存溢出的问题。要经常向你的路由器厂商查询当前的更新 和操作系统的版本。 2. 修改默认口令：据卡内基梅隆大学的计算机应急反应小组称，80%的安全事件都是 由于较弱或者默认的口令引起的。避免使用普通的口令，并且使用大小写字母混合的方式作 为更强大的口令规则。 3. 禁用HTTP设置和SNMP（简单网络管理协议）：你的路由器的HTTP设置部分对于 一个繁忙的网络管理员来说是很容易设置的。但是，这对路由器来说也是 一个安全问题。 如果你的路由器有一个命令行设置，禁用HTTP方式并且使用这种设置方式。如果你没有使 用你的路由器上的SNMP，那么你就不需要启用这个 功能。思科路由器存在一个容易遭受 GRE隧道攻击的SNMP 安全漏洞。 4. 封锁ICMP（互联网控制消息协议）ping 请求：ping 和其它ICMP 功能对于网络管理 员和黑客都是非常有用的工具。黑客能够利用你的路由器上启用的ICMP 功能找出可用来攻 击你的网络的信息。 5. 禁用来自互联网的telnet 命令：在大多数情况下，你不需要来自互联网接口的主动的 telnet 会话。如果从内部访问你的路由器设置会更安全一些。 6. 禁用IP定向广播：IP定向广播能够允许对你的设备实施拒绝服务攻击。一台路由器 的内存和CPU 难以承受太多的请求。这种结果会导致缓存溢出。 7. 禁用IP路由和IP重新定向：重新定向允许数据包从一个接口进来然后从另一个接口 出去。你不需要把精心设计的数据包重新定向到专用的内部网路。 8. 包过滤：包过滤仅传递你允许进入你的网络的那种数据包。许多公司仅允许使用80 端口（HTTP）和110/25端口（电子邮件）。此外，你可以封锁和允许IP地址和范围。 9. 禁用不必要的服务：无论是路由器、服务器和工作站上的不必要的服务都要禁用。 合肥清默思科培训 网址： 思科的设备通过网络操作系统默认地提供一些小的服务，如echo（回波）， chargen（字符 发生器协议）和discard（抛弃协议）。这些服务，特别是它们的UDP 服务，很少用于合法 的目的。但是，这些服务能够用来实施拒 绝服务攻击和其它攻击。包过滤可以防止这些攻 击。