局域网交换机安全PDF|Epub|txt|kindle电子书版本网盘下载

局域网交换机安全PDF格式电子书版下载

注意：本站所有压缩包均有解压码： 点击下载压缩包解压工具

第1部分 安全隐患和缓解技术3

第1章 安全导论3

1.1 安全三要素（Security Triad）3

1.1.1 保密性（Confidentiality）4

1.1.2 完整性（Integrity）5

1.1.3 可用性（Availability）5

1.1.4 逆向安全三要素（Reverse Security Triad）5

1.2 风险管理（Risk Management）6

1.2.1 风险分析6

1.2.2 风险控制7

1.3 访问控制和身份管理7

1.4 密码学（Cryptography）9

1.4.1 对称加密系统10

1.4.2 非对称加密系统12

1.4.3 针对加密系统的攻击15

1.5 总结16

1.6 参考资料17

第2章 挫败学习型网桥的转发进程19

2.1 基础回顾：以太网交换10119

2.1.1 以太网帧格式19

2.1.2 学习型网桥21

2.1.3 过量泛洪（Excessive Flooding）的后果22

2.2 利用桥接表的MAC地址泛洪攻击23

2.2.1 强制产生一个过量泛洪的条件23

2.2.2 macof工具简介26

2.3 MAC欺骗（MAC Spoofing）攻击：MAC泛洪的变异30

2.4 预防MAC地址泛洪及欺骗攻击32

2.4.1 探测MAC Activity32

2.4.2 port security（端口安全）32

2.4.3 未知单播泛洪的保护35

2.5 总结36

2.6 参考资料37

第3章 攻击生成树协议39

3.1 生成树协议入门39

3.1.1 STP的类型41

3.1.2 STP操作的更多细节42

3.2 开始攻击游戏48

3.2.1 攻击1：接管根网桥50

3.2.2 攻击2：利用配置BPDU泛洪的DoS55

3.2.3 攻击3：利用配置BPDU泛洪的：DoS58

3.2.4 攻击4：模拟一台双宿主（Dual-Homed）交换机58

3.3 总结59

3.4 参考资料59

第4章 VLAN安全吗61

4.1 IEEE 802.1Q概览61

4.1.1 帧的归类（Classification）62

4.1.2 “入乡随俗”（go native）63

4.1.3 802.1Q标记栈（802.1Q Tag Stack）攻击65

4.2 理解Cisco动态Trunk协议（Dynamic Trunking Protocol）69

4.2.1 手动发起一个DTP攻击70

4.2.2 DTP攻击的反制措施73

4.3 理解Cisco VTP74

4.4 总结75

4.5 参考资料75

第5章 利用DHCP缺陷的攻击77

5.1 DHCP概览77

5.2 攻击DHCP80

5.2.1 耗尽DHCP的范围：针对DHCP的DoS攻击81

5.2.2 利用DHCP无赖服务器劫持流量83

5.3 DHCP（范围）耗尽攻击的对策84

5.3.1 Port Security（端口安全）85

5.3.2 介绍DHCP snooping87

5.4 针对IP/MAC欺骗攻击的DHCP snooping91

5.5 总结94

5.6 参考资料95

第6章 利用IPv4 ARP的攻击97

6.1 ARP基础回顾97

6.1.1 正常的ARP行为97

6.1.2 免费ARP99

6.2 ARP的风险分析100

6.3 ARP欺骗（ARP spoofing）攻击100

6.3.1 ARP欺骗攻击诸要素100

6.3.2 发起一次ARP欺骗攻击102

6.4 缓解ARP欺骗攻击103

6.4.1 动态ARP检测104

6.4.2 保护主机107

6.4.3 入侵检测107

6.5 缓解其他的ARP缺陷（vulnerability）108

6.6 总结109

6.7 参考资料109

第7章 利用IPv6邻居发现和路由器通告协议的攻击111

7.1 IPv6简介111

7.1.1 IPv6的动机111

7.1.2 IPv6改变了什么112

7.1.3 邻居发现116

7.1.4 路由器通告的无状态配置117

7.2 ND和无状态配置的风险分析119

7.3 缓解ND和RA攻击120

7.3.1 针对主机120

7.3.2 针对交换机120

7.4 安全的ND120

7.5 总结122

7.6 参考资料123

第8章 以太网上的供电呢125

8.1 PoE简介125

8.1.1 PoE的工作原理126

8.1.2 检测机制126

8.1.3 供电机制128

8.2 PoE的风险分析129

8.3 缓解攻击130

8.3.1 防御偷电行为130

8.3.2 防御改变功率攻击131

8.3.3 防御关闭攻击131

8.3.4 防御烧毁攻击131

8.4 总结132

8.5 参考资料132

第9章 HSRP适应力强吗135

9.1 HSRP的工作原理135

9.2 攻击HSRP138

9.2.1 DoS攻击139

9.2.2 中间人攻击140

9.2.3 信息泄露140

9.3 缓解HSRP攻击140

9.3.1 使用强认证141

9.3.2 依靠网络基础设施143

9.4 总结144

9.5 参考资料144

第10章 能打败VRRP吗147

10.1 探索VRRP147

10.2 VRRP的风险分析150

10.3 缓解VRRP攻击151

10.3.1 使用强认证151

10.3.2 依靠网络基础设施152

10.4 总结152

10.5 参考资料152

第11章 Cisco辅助协议与信息泄露155

11.1 Cisco发现协议155

11.1.1 深入研究CDP155

11.1.2 CDP的风险分析157

11.1.3 缓解CDP的风险159

11.2 IEEE链路层发现协议159

11.3 VLAN Trunking协议160

11.3.1 VTP风险分析161

11.3.2 VTP风险分析162

11.4 链路聚合协议163

11.4.1 风险分析165

11.4.2 风险缓解166

11.5 总结166

11.6 参考资料167

第2部分 交换机如何抵抗拒绝服务攻击171

第12章 拒绝服务攻击简介171

12.1 DoS攻击和DDoS攻击的区别171

12.2 发起DDoS攻击172

12.2.1 僵尸行动（Zombie）172

12.2.2 Botnet（僵尸群）173

12.3 DoS和DDoS攻击174

12.3.1 攻击基础设施174

12.3.2 遏制针对服务的攻击175

12.4 利用DoS和DDoS攻击LAN交换机175

12.4.1 交换机的内部结构175

12.4.2 三种平面176

12.4.3 攻击交换机177

12.5 总结180

12.6 参考资料181

第13章 控制平面的监管183

13.1 哪些服务驻留于控制平面184

13.2 保护交换机的控制平面185

13.3 实施基于硬件的CoPP186

13.3.1 在Catalyst 6500上配置基于硬件的CoPP187

13.3.2 在Cisco ME3400上配置控制平面的安全189

13.4 实施基于软件的CoPP192

13.5 使用CoPP遏制攻击196

13.5.1 在Catalyst 6500交换机上遏制攻击196

13.5.2 在Cisco ME3400交换机上遏制攻击203

13.6 总结206

13.7 参考资料207

第14章 屏蔽控制平面协议209

14.1 配置交换机屏蔽控制平面协议209

14.1.1 安全地屏蔽控制平面的行为211

14.1.2 屏蔽其他控制平面的行为216

14.1.3 不能被屏蔽的控制平面行为219

14.1.4 控制平面的最佳做法219

14.2 总结220

第15章 利用交换机发现数据平面拒绝服务攻击（DoS）223

15.1 使用NetFlow检测DoS223

15.1.1 在Catalyst 6500上启用NetFlow227

15.1.2 利用NetFlow作为安全工具229

15.1.3 利用NetFlow应用程序增强安全性230

15.2 利用RMON保护网络232

15.3 检测活跃蠕虫的其他技术235

15.4 总结237

15.5 参考资料237

第3部分 用交换机来增强网络安全243

第16章 线速访问控制列表243

16.1 ACL还是防火墙？244

16.2 状态还是无状态？245

16.3 利用ACL保护基础设施245

16.4 RACL、VACL和PACL：多种类型的ACL247

16.4.1 使用RACL247

16.4.2 使用VACL248

16.4.3 使用PACL250

16.5 快速ACL查找（Lookup）的技术原理250

16.6 总结253

第17章 基于身份的网络服务与802.1X255

17.1 基础256

17.2 身份（identify）的基本概念256

17.2.1 身份标识256

17.2.2 认证257

17.2.3 授权257

17.3 探索扩展认证协议257

17.4 探究IEEE 802.1X258

17.5 802.1X安全260

17.5.1 集成增值（Value-Add）的802.1X262

17.5.2 保持内部诚信265

17.6 使用多台设备268

17.6.1 single-auth模式268

17.6.2 Multihost（多主机）模式269

17.7 使用无802.1X能力的设备270

17.7.1 802.1X Guest-VLAN270

17.7.2 802.1X Guest-VLAN计时271

17.7.3 MAC地址认证入门273

17.7.4 MAB的操作273

17.8 策略执行278

17.9 总结279

17.10 参考资料280

第4部分 网络安全的下一步285

第18章 IEEE 802.1AE285

18.1 企业网的发展趋势与挑战285

18.2 信任危机286

18.2.1 数据平面的流量286

18.2.2 控制平面的流量287

18.2.3 管理流量287

18.3 加密之路：WAN和WLAN简史287

18.4 第二层，为什么不288

18.5 链路层安全：IEEE 802.1AE/af289

18.5.1 现状：使用802.1X进行认证289

18.5.2 LinkSec：对802.1X进行扩展291

18.5.3 认证和密钥分发292

18.5.4 数据的机密性与完整性293

18.5.5 帧格式293

18.5.6 加密模式295

18.6 安全性的前景：LinkSec与其他安全技术的共存295

18.7 性能和可扩展性296

18.8 基于LAN的加密保护：端到端VS.逐跳297

18.9 总结298

18.10 参考资料299

附录 结合IPSec与L2TPv3实现安全伪线301

A.1 体系结构301

A.2 配置303

A.2.1 伪线303

A.2.2 xconnect304

A.2.3 IPsec Crypto Map（加密映射）304

A.2.4 IKE认证304

A.2.5 调试信息305