追蹤可疑源頭 。Catalyst集成的安全特性提供了基于身份的網(wǎng)絡(luò)服務(wù)(IBNS)，以及DHCP監(jiān)聽、源IP防護(hù)、和動(dòng)態(tài)ARP檢測(cè)等功能 。這些功能提供了用戶的IP地址和MAC地址、物理端口的綁定信息，同時(shí)防范IP地址假冒 。這點(diǎn)非常重要，假如不能防范IP地址假冒，那么Netflow搜集到的信息就沒有意義了 。用戶一旦登錄網(wǎng)絡(luò)，就可獲得這些信息 。結(jié)合ACS，還可以定位用戶登錄的用戶名 。在Netflow收集器(Netflow Collector)上編寫一個(gè)腳本文件，當(dāng)發(fā)現(xiàn)可疑流量時(shí)，就能以email的方式，把相關(guān)信息發(fā)送給網(wǎng)絡(luò)治理員 。
在通知email里，報(bào)告了有不正常網(wǎng)絡(luò)活動(dòng)的用戶CITG，所屬組是CITG-1(這是802.1x登錄所用的) 。接入層交換機(jī)的IP地址是10.252.240.10，物理接口是FastEthernet4/1，另外還有客戶端IP地址和MAC地址，以及其在5分鐘內(nèi)(這個(gè)時(shí)間是腳本所定義的)發(fā)出的flow和packet數(shù)量 。
把握了這些信息后，網(wǎng)管員就可以馬上采取以下行動(dòng)了：
通過遠(yuǎn)程SPAN捕捉可疑流量 。Catalyst交換機(jī)上所支持的遠(yuǎn)程端口鏡像功能可以將流量捕捉鏡像到一個(gè)遠(yuǎn)程交換機(jī)上，例如將接入層交換機(jī)上某個(gè)端口或VLAN的流量穿過中繼鏡像到分布層或核心層的某個(gè)端口，只需非常簡(jiǎn)單的幾條命令即可完成 。流量被捕捉到網(wǎng)絡(luò)分析或入侵檢測(cè)設(shè)備(例如Cat6500集成的網(wǎng)絡(luò)分析模塊NAM或IDS模塊)，作進(jìn)一步的分析和做出相應(yīng)的動(dòng)作 。
整個(gè)過程需要多長(zhǎng)時(shí)間呢？對(duì)于一個(gè)有經(jīng)驗(yàn)的網(wǎng)管員來說，在蠕蟲發(fā)生的5分鐘內(nèi)就能完成，而且他不需要離開他的座位！
我們可以看到，這個(gè)解決方案結(jié)合了Catalyst上集成的多種安全特性功能，從擴(kuò)展的802.1x，到DHCP監(jiān)聽、動(dòng)態(tài)ARP檢測(cè)、源IP防護(hù)和Netflow 。這些安全特性的綜合使用，為我們提供了一個(gè)在企業(yè)局域網(wǎng)上有效防范蠕蟲攻擊的解決方案，這個(gè)方案不需更多額外投資，因?yàn)槔玫氖羌稍贑atalyst上的IOS中的功能特性，也帶給我們一個(gè)思考：如何利用網(wǎng)絡(luò)來保護(hù)網(wǎng)絡(luò)？這些我們?cè)谶x擇交換機(jī)時(shí)可能忽略的特性，會(huì)帶給我們意想不到的行之有效的安全解決方案！
推薦閱讀
- CISCO、HUAWEI、HARBOUR交換機(jī)廣播抑制功能的測(cè)試報(bào)告
- 交換機(jī)故障的10種類型判斷總結(jié)
- NETGEAR高性能交換機(jī)應(yīng)用中國(guó)科技大學(xué)案例
- 交換機(jī)數(shù)據(jù)阻塞引起網(wǎng)絡(luò)故障案例分析
- ZXR10 3906三層全光口智能以太網(wǎng)交換機(jī)
- ZXR10 3952三層智能以太網(wǎng)交換機(jī)
- ZXR10 3928三層智能以太網(wǎng)交換機(jī)
- ZXR10 3206S全光匯聚交換機(jī)
- ZXR10 3206二層全光口智能以太網(wǎng)交換機(jī)
- 如何利用外商直接投資