网络管理与维护案例教程第5章 网络安全管理.pptVIP

第5章网络安全管理 1 园区网常见安全隐患 非人为或自然力造成的硬件故障、电源故障、软件错误、火灾、水灾、风暴和工业事故等。 人为但属于操作人员无意的失误造成的数据丢失或损坏；。 来自园区网外部和内部人员的恶意攻击和破坏。 2 威胁 人 自然灾害 恶意 非恶意 不熟练的员工 （外部） 黑客 威胁 （内部） 不满的员工 （外部） 战争 3 漏洞 物理 自然 硬件 软件 媒介 通讯 人 External attacker Corporate Assets Internal attacker Incorrect permissions Virus 4 网络安全的演化 第一代 引导性病毒 第二代 宏病毒 DOS 电子邮件 有限的黑客攻击 第三代 网络DOS攻击 混合威胁（蠕虫+病毒+特洛伊） 广泛的系统黑客攻击 下一代 网络基础设施黑客攻击 瞬间威胁 大规模蠕虫 DDoS 破坏有效负载的病毒和蠕虫 波及全球的网络基础架构 地区网络 多个网络 单个网络 单台计算机 周 天 分钟 秒 影响的目标和范围 1980s 1990s 今天 未来 安全事件对我们的威胁越来越快 5 现有网络安全体制 现有网络安全 防御体制 IDS 68% 杀毒软件 99% 防火墙 98% ACL 71% 6 常见解决安全隐患的方案 交换机端口安全 配置访问控制列表ACL 在防火墙实现包过滤 …… 7 交换机端口安全 通过限制允许访问交换机上某个端口的MAC地址以及IP（可选）来实现严格控制对该端口的输入。当你为安全端口打开了端口安全功能并配置了一些安全地址后，则除了源地址为这些安全地址的包外，这个端口将不转发其它任何包。 此外，你还可以限制一个端口上能包含的安全地址最大个数，如果你将最大个数设置为1，并且为该端口配置一个安全地址，则连接到这个口的工作站（其地址为配置的安全地址）将独享该端口的全部带宽。 为了增强安全性，你可以将 MAC地址和IP地址绑定起来作为安全地址。 8 交换机端口安全 如果一个端口被配置为一个安全端口，当其安全地址的数目已经达到允许的最大个数后，如果该端口收到一个源地址不属于端口上的安全地址的包时，一个安全违例将产生。 当安全违例产生时，你可以选择多种方式来处理违例： Protect：当安全地址个数满后，安全端口将丢弃未知名地址（不是该端口的安全地址中的任何一个）的包。 RestrictTrap：当违例产生时，将发送一个Trap通知。 Shutdown：当违例产生时，将关闭端口并发送一个Trap通知。 9 配置安全端口 interface interface-id 进入接口配置模式。 switchport mode access 设置接口为access模式（如果确定接口已经处于access模式，则此步骤可以省略）。 switchport port-security 打开该接口的端口安全功能 switchport port-security maximum value 设置接口上安全地址的最大个数，范围是1－128，缺省值为128。 switchport port-security violation{protect| restrict | shutdown} 设置处理违例的方式当端口因为违例而被关闭后，你可以在全局配置模式下使用命令errdisable recovery 来将接口从错误状态中恢复过来。 switchport port-security mac-address mac-address [ip-address ip-address] 手工配置接口上的安全地址。ip-address: 可选IP 为这个安全地址绑定的地址。 10 端口安全的默认配置和限制 默认设置： 端口安全开关 所有端口均关闭端口安全功能 最大安全地址个数 128 安全地址 无 违例处理方式 保护（protect） 配置端口安全限制： 一个安全端口不能是一个aggregate port； 一个安全端口只能是一个access port 11 端口安全配置示例 下面的例子说明了如何使能接口gigabitethernet1/3上的端口安全功能，设置最大地址个数为8，设置违例方式为protect。 Switch# configure terminal Switch（config）# interface gigabitethernet 1/3 Switch（config-if）# switchport mode access Switch（config-if）