Please enable JavaScript.

Coggle requires JavaScript to display documents.

网络监听及防御技术 - Coggle Diagram

- - - - 与自己MAC地址匹配的数据帧
      - 全为F的广播帧
  - - - MAC地址
    - - IP地址
    - - 判断本机端口是否打开
  - - - 站过滤
      - 协议过滤
      - 服务过滤
      - 通用过滤
    - - 捕获前过滤
      - 捕获后过滤
- - - - 网络分段
      - 划分VLAN
    - - 数据通道加密
        
        SSH
        
        SSL
        
        VPN
      - 数据内容加密
        
        PGP
  - - - 网络和主机响应时间测试
        
        原理
        
        混杂模式下的机器缺乏底层过滤机制，骤然增加目标地址不是本地的网络通讯流量会对该机器造成明显的影响。
        
        过程
        
        利用 ICMP Echo 请求及响应计算出需要检测机制的响应时间基准和平均值
        
        在得到这个数据后，立即向本地网络发送大量伪造数据包，与此同时再次发送测试数据包，以确定平均响应时间的变化值
        
        非监听的机器的响应时间变化量会很小，而监听的通常会有1~4个数量级的变化
      - ARP检测
        
        原理
        
        混杂模式下的网卡，对于ARP请求报文，照单全收，会做出响应，而正常的不匹配是不会收的。
        
        过程
        
        伪造ARP报文，发送到各个节点，有回应的通常运行着嗅探程序。
    - - 检测处于混杂模式的网卡
      - 网络通讯丢包率高
      - 网络带宽反常
- - - - 易于使用
      - 功能有限，无法抓取网络上所有数据
      - 效率不高
    - - 昂贵
- - - - 交换机MAC地址表的溢出，回退到HUB的广播模式，向所有端口发送数据包，这样就可以实现监听了。
    - - 计算机中维护了一个IP-MAC地址表。通过ARP报文，修改其内容，成为被攻击者和交换机之间的中间人，这样就可以收到所有的数据了。
- - - - 正常协议栈
        
        非本地数据包丢弃
      - 分组过滤模块
        
        非本地数据包，由分组过滤模块决定丢弃还是上传
    - - Unix
        
        BSD 的 BPF（Berkeley Packet Filter）
        
        SVR4 的 DLPI（Data Link Interface）
      - Linux
        
        SOCK_PACKET
      - Windows
        
        NPF