Please enable JavaScript.

Coggle requires JavaScript to display documents.

Безопасность на уровнях модели OSI (Физическая безопасность (Безопасность…

- - - - -- Все электрические кабельные системы являются излучателями электромагнитного поля (антеннами), и возможен бесконтактный сьем инфы.
        -- Оптоэлектроника стоит дорого и во многих случаях не снимает проблемы излучения электромагнитной энергии в окружающее пространство (рабочие станции, серверы, интерфейсные карты, концентраторы и другие сетевые устройства).
        -- Перехват данных 10/100Base-T, передаваемых по неэкранированной линии между файл-серверами, рабочими станциями и принтерами, можно очень легко осуществить вообще без всякого физического подсоединения к сети, установив антенну недалеко от кабеля.
        -- Однако просто установки экранированного кабеля оказывается недостаточно. Все экранированные элементы требуют обеспечения максимально возможной степени согласования, поэтому экранирование должно затрагивать также и соединительные кабели и разъемы. Помимо этого, при установке STP необходимо тщательно следить за радиусами изгиба кабелей и стремиться минимизировать раскрутку витой пары для установки разъемов, чтобы сохранить согласование между витыми парами после прокладки и подключения линии.
    - - -- С появлением технологий Gigabit Ethernet и с увеличением несущей частоты, которая требуется для более высоких скоростей передачи данных, требуется увеличивать и мощность сигнала, чтобы скомпенсировать более высокие уровни его затухания. Более высокие уровни мощности передачи приводят к увеличению интенсивности излучения и, тем самым, еще сильнее ухудшают ситуацию с обеспечением безопасности информации.
        -- Советуют использовать экранированные линии для работы с протоколами 100/1000Base-TX, чтобы снизить уровни излучения и повысить безопасность данных.
        -- Экранированные системы имеют гораздо большую устойчивость к внешним радиочастотным полям
- - - - Отсутствие конфиденциальности и аутентичности передаваемых кадров.
        Среди полей заголовка нет ни одного поля, которое могло бы использоваться для обеспечения конфиденциальности передаваемых данных. При этом гарантией аутентичности выступает МАС-адрес, подделать который не проблематично.
      - В классическом Ethernet работающем по методу CSMA/CD, любой драйвер сетевого интерфейса переведенный в беспорядочный режим работы (promiscous mode) с помощью анализатора трафика может получать все кадры в сегменте сети.
      - В современных сетях, построеных на коммутаторах нет проблем класического CSMA/CD. Но есть другие проблемы:
        
        переполнение памяти коммутатора (ограниченный обьем)
        
        использовать протоколы вышестоящих уровней (ARP)
      - Имперсонация (выдача злоумышленника за другого пользователя). Достаточно просто изменить МАС-адрес на нужный. Проблему можно решить с помощью управляемых коммутаторов (дают возможность выполнить статическубюпривязку МАС-адреса станции к порту)
  - - - Идентификатор беспроводной сети (Service Set Identificator, SSID)
        SSID представляет собой атрибут беспроводной СЕТИ, позволяющий логически отличать сети друг от друга.
      - Аутентификация абонента в IEEE 802.11
  - - - Узел злоумышленника широковещательно посылает BPDU изменения конфигурации и топологии сети для изменения расчета Spanning Tree. BPDU злоумышленника обьявляют низкий уровень приоритета коммутатора (bridge priority) для того, чтобы быть избранным в качестве Root bridge и весь трафик сети будет проходить через узел злоумышленника.
        
        Технология PortFast
        Включение технологии PortFast на интерфейсе приводит к тому, что порт на канальном уровне переключается из состояния блокирования (blocking) в продвижения (forwarding) немедленно, минуя состояния прослушивание (listening) и обучение (learning). PortFast может использоваться для портов канального уровня коммутатора, которые подключены к узлу (рабочей станции или серверу) и разрешает этим устройствам подключаться к сети немедленно, минуя ожидание конвергенции STP.
        
        Технология BPDU Guard
        Позволяет администратору сети сделать текущую топологию сети предсказуемой. BPDU Guard используется для защиты коммутируемой сети от проблем связанных с получением BPDU на портах где их быть не должно. Получение неожиданного BPDU может говорить о неавторизованной попытке добавить коммутатор в сеть.
        Если порт коммутатора на котором настроена технология PortFast получает BPDU, STP может перевести данный порт в состояние отключен (disabled) используя технологию BPDU Guard.
        
        Технология Root Guard
        Предоставляет возможность принудительного размещения Root bridge в сети. Root Guard ограничивает порты на которых может оговариваться root bridge. Если порт, на котором эта ф-я вкл. получает BPDU со значением превосходящим то, которое посылает текущий root bridge, такой порт переводится в состояние root-inconsistent, что соответствует состоянию listening и трафик через данный порт не передается. Ф-я Root Guard должна применятся для тех портов к которым подключены коммутаторы, которые не должны становиться root bridge. При вкл. ф-и Root Guard, если узел злоумышленника посылает поддельное BPDU для становления root bridge, коммутатор будет игнорировать его. Но порт восстановит свое исходное состояние, как только такие BPDU перестанут на него поступать. В этом и есть отличие от BPDU Guard - при включении BPDU Guard администратор должен вручную включать порт. Функция Root Guard дает возможность устройству участвовать в работе протокола STP, но только до тех пор, пока оно не пытается стать корневым.