本文为软考信息安全工程师个人学习笔记，依据官方考试大纲与公开技术规范整理，仅用于学习交流，不作为商业用途。
一、交换机安全增强技术方法
1.1 配置交换机访问口令和ACL，限制安全登录
交换机安全访问控制分为两级：
（1）第一级通过控制用户的连接实现：配置交换机ACL对登录用户进行过滤，只有合法用户才能和交换机设备建立连接。
（2）第二级通过用户口令认证实现：连接到交换机设备的用户必须通过口令认证才能真正登录到设备。为防止未授权用户的非法侵入，必须在不同登录和访问的用户界面设置口令，设置登录和访问的默认级别和切换口令。
两级访问控制：
| 级别 | 控制方式 | 说明 |
|---|---|---|
| 第一级 | 连接控制 | 通过配置ACL限制登录IP，仅允许合法用户建立连接 |
| 第二级 | 认证控制 | 必须通过口令认证才能登录设备，需为不同用户界面设置口令和访问级别 |
1.2 利用镜像技术监测网络流量
以太网交换机提供基于端口和流量的镜像功能，即可将指定的1个或多个端口的报文或数据包复制到监控端口，用于报文的分析和监视、网络检测和故障排除。
流量镜像技术：
- 原理：将指定端口的报文复制到监控端口进行分析
- 应用场景：网络监测、故障排查
- 对比集线器：集线器天然广播所有流量，交换机需专门配置镜像功能
1.3 MAC地址控制技术
设置端口最大学习的MAC地址数量、MAC地址老化时间，抑制MAC攻击。
MAC地址防护：
- 数量限制：设置端口最大学习MAC地址数（如3个）
- 老化时间：默认300秒自动清空MAC表
- 防护机制：超过限制可自动关闭端口
1.4 安全增强
关闭交换机不必要的网络服务、限制安全远程访问、限制控制台的访问、启动登录安全检查、安全审计等安全增强措施。
安全增强措施：
- 服务管理：关闭不必要的网络服务（如Web服务）
- 访问限制：控制台访问需用户名密码认证
- 审计功能：启用登录检查和日志记录
二、路由器安全增强技术方法
2.1 及时升级操作系统和打补丁
及时关注厂商安全公告，获取最新补丁包，升级路由器操作系统。
2.2 关闭不需要的网络服务
路由器可以提供BOOTP、Finger、NTP、Echo、Discard、Chargen、CDP等网络服务，然而这些服务会给路由器造成安全隐患。为了安全，建议关闭这些服务。
基础防护措施：
- 系统更新：及时升级操作系统和补丁
- 服务关闭：禁用BOOTP、Finger等非必要服务
- 端口管理：明确关闭未使用的物理端口
2.3 明确禁止不使用的端口
Router (Config) #interface eth0/3
Router (Config) #shutdown2.4 禁止IP直接广播和源路由
禁止IP直接广播，可以防止smurf攻击。禁止IP直接广播配置方法：
router#interface eth 0/0
router#no ip directed-broadcast为了防止攻击者利用路由器的源路由功能，也应对其禁止使用，其配置方法是：
router# no ip source-route网络层防护：
- 广播防护：禁用IP直接广播防止smurf攻击
- 路由防护：禁用源路由功能防止路径伪造
2.5 增强路由器VTY安全
为了保护路由器的虚拟终端安全使用，要求用户必须提供口令认证，并且限制访问网络区域或者主机。
远程访问安全：
- VTY增强：强制口令认证+IP访问限制
- 恶意包过滤：阻断源地址伪造、loopback等异常数据包
2.6 阻断恶意数据包
路由器利用访问控制来禁止这些恶意数据包通行。常见恶意数据包有以下类型：
- 源地址声称来自内部的信息包
- loopback数据包
- ICMP重定向包
- 源地址和目标地址相同
2.7 路由器口令安全
路由器的口令存放应是密文。
加密与认证：
- 口令存储：必须采用密文存储
- 传输加密：启用IPSec建立VPN隧道
- SNMP安全：修改默认团体字（特别是private字段）
2.8 传输加密
启用路由器的IPSec功能，对路由器之间传输的信息进行加密。借助IPSec，路由器支持建立虚拟专用网（VPN），因而可以用在公共IP网络上确保数据通信的保密性。由于IPSec的部署简便只须安全通道两端的路由器支持IPSec协议即可，几乎不需要对网络现有的基础设施进行变动。
2.9 增强路由器SNMP的安全
修改路由器设备厂商的SNMP默认配置，对于其public和private的验证字一定要设置好，尤其是private的，一定要设置一个安全的、不易猜测的验证字。
三、网络设备常见漏洞与解决方法
3.1 网络设备常见漏洞
根据已经公开的CVE漏洞信息，思科、华为等网络设备厂商的路由器、交换机等产品不同程度地存在安全漏洞，常见的安全漏洞主要如下：
| 漏洞类型 | 说明 |
|---|---|
| 拒绝服务漏洞 | 拒绝服务漏洞将导致网络设备停止服务，危害网络服务可用性 |
| 跨站伪造请求CSRF（Cross-Site Request Forgery） | 针对Web管理界面的攻击 |
| 格式化字符串漏洞 | 攻击函数返回值 |
| XSS（Cross-Site Scripting） | 跨站脚本攻击 |
| 旁路（Bypass something） | 旁路漏洞绕过网络设备的安全机制，使得安全措施没有效果 |
| 代码执行（Code Execution） | 攻击者可以控制网络设备，导致网络系统失去控制，危害性极大 |
| 溢出（Overflow） | 该类漏洞利用后可以导致拒绝服务、特权或安全旁路 |
| 内存破坏（Memory Corruption） | 内存破坏漏洞利用常会对路由器形成拒绝服务攻击 |
八大漏洞类型：
- 拒绝服务：耗尽设备资源
- CSRF：跨站请求伪造（针对Web管理）
- 格式化字符串：攻击函数返回值
- XSS：跨站脚本攻击
- 旁路攻击：绕过安全机制（如通过Web获取Telnet凭据）
- 代码执行：完全控制设备
- 缓冲区溢出：经典攻击方式
- 内存破坏：导致服务崩溃
3.2 网络设备漏洞解决方法
1. 及时获取网络设备漏洞信息。
2. 网络设备漏洞扫描。 网络设备漏洞扫描的软件主要有以下几种：
- （1）端口扫描工具。利用Nmap工具，可以查看网络设备开放的端口或服务。
- （2）通用漏洞扫描器。使用Shadow Scanner、OpenVAS、Metasploit可以发现网络设备漏洞。
- （3）专用漏洞扫描器。Cisco Torch、CAT（Cisco Auditing Tool）可以检查Cisco路由器设备常见的漏洞。
3. 网络设备漏洞修补。 网络设备安全漏洞的处理方法如下：
- （1）修改配置文件。用户调整网络设备配置可修补漏洞，常见漏洞是默认口令、开放不必要的服务、敏感数据未加密等。
- （2）安全漏洞利用限制。针对网络设备的安全漏洞触发条件，限制漏洞利用条件。例如，利用网络设备访问控制，限制远程计算机访问网络设备。
- （3）服务替换。针对网络设备的非安全服务，使用安全服务替换。如使用SSH替换Telnet，启用IPSec服务。
- （4）软件包升级。针对网络设备的软件实现产生的漏洞，通过获取厂商的软件包，升级网络设备的软件。
漏洞管理流程：
- 信息获取：及时关注CVE漏洞公告
- 漏洞扫描：
- 端口扫描（Nmap）
- 通用扫描器（OpenVAS）
- 专用扫描器（Cisco Torch）
- 修补方法：
- 配置调整：修改默认口令、关闭服务、加密数据
- 利用限制：通过ACL限制访问条件
- 服务替换：SSH替代Telnet，启用IPSec
- 软件升级：安装厂商提供的补丁包
防护要点：
- 纵深防御：结合多种防护措施
- 最小权限：严格限制访问权限
- 持续监控：定期扫描和审计
- 应急响应：建立漏洞响应机制
四、攻击案例对比
| 攻击类型 | 特点 |
|---|---|
| 集线器嗅探 | 全网流量暴露（天然广播所有流量） |
| 交换机镜像 | 需手动配置（基于端口和流量的镜像功能） |
| MAC泛洪攻击 | 表项耗尽（伪造大量虚假MAC地址填满MAC地址表） |
| 旁路攻击 | 绕过认证（通过Web管理界面获取Telnet凭据等） |
镜像技术在故障排查与攻击监测中的双重作用：
- 故障排查：复制指定端口报文到监控端口，分析网络异常
- 攻击监测：通过镜像流量检测入侵行为和异常流量
本章小结
本章节系统梳理了网络设备安全增强技术与漏洞防护：
- 交换机安全增强四项技术：访问口令+ACL两级控制（连接控制+认证控制）、端口镜像监测流量（复制报文到监控端口）、MAC地址控制（限制学习数量+老化时间300秒+超限制关端口）、安全增强（关服务/限远程/控制台认证/审计）
- 路由器安全增强九项技术：升级系统打补丁、关闭非必要服务（BOOTP/Finger/NTP/CDP等）、shutdown未用端口、禁IP直接广播（防smurf）和源路由（防路径伪造）、增强VTY安全（口令+IP限制）、阻断恶意数据包（源地址伪造/loopback/ICMP重定向）、口令密文存储、IPSec传输加密（建立VPN隧道）、增强SNMP安全（修改默认团体字特别是private）
- 网络设备八大常见漏洞：拒绝服务、CSRF（跨站请求伪造）、格式化字符串、XSS（跨站脚本）、旁路攻击（绕过安全机制）、代码执行（完全控制设备）、缓冲区溢出、内存破坏
- 漏洞解决四步法：获取CVE漏洞信息→漏洞扫描（Nmap端口扫描/OpenVAS通用扫描/Cisco Torch专用扫描）→漏洞修补（配置修改/利用限制/服务替换SSH替代Telnet/软件升级）
- 攻击案例对比：集线器嗅探（全网流量暴露）vs交换机镜像（需手动配置）、MAC泛洪（表项耗尽）vs旁路攻击（绕过认证）
上述内容中，交换机端口镜像与ACL两级控制、路由器禁IP直接广播和源路由、八大漏洞类型（特别是缓冲区溢出vs内存破坏区别）、漏洞修补优先级（紧急补丁>配置优化>服务替换）为高频考点，路由器安全增强配置和漏洞修补方法可能出现在下午案例分析题中。
本文为软考信息安全工程师个人学习笔记，依据官方考试大纲与公开技术规范整理，仅用于学习交流，不作为商业用途。