数码资讯
发现和防止路由器、交换机和防火墙的漏洞
评论：在本文中，我们将讨论为什么这些设备容易受到攻击。现在有多少恶意网络攻击针对路由器、交换机和防火墙，公司应该采取什么措施来保护其网络 对网络资源的远程连接已经成为现代企业中许多员工的需要，无论是通过VPN、远程桌面还是SSH实现连接，都不可避免地要经过路由器、交换机和防火墙等网络，这些设备中的许
选购提示
关注价格、性能、续航、售后和真实使用场景，理性比较后再下单。
评论：在本文中，我们将讨论为什么这些设备容易受到攻击。现在有多少恶意网络攻击针对路由器、交换机和防火墙，公司应该采取什么措施来保护其网络
对网络资源的远程连接已经成为现代企业中许多员工的需要，无论是通过VPN、远程桌面还是SSH实现连接，都不可避免地要经过路由器、交换机和防火墙等网络，这些设备中的许多都容易受到攻击。
安全行业和企业管理人员都意识到了这个问题，攻击者意识到这些设备存在漏洞，具有基本网络知识的恶意人员可以成功地攻击路由器、交换机和防火墙，窃取业务信息甚至中断通信。
在本文中，我们将讨论为什么这些设备容易受到攻击。现在有多少恶意网络攻击针对路由器、交换机和防火墙，企业应该采取什么措施来保护他们的网络
攻击Cisco路由器或交换机
从其核心路由和交换的过程，无非是在网络的移动数据包。在这个过程的原理来看，路由器和交换机一般被认为是简单的输送设备。但是，应该指出的是，一旦有人访问任何类型的管理接入路由器或交换机，他们可能造成严重破坏。
首先，让我们在一个路由器或交换机可以被攻击的方式看，在路由和交换市场的大部分市场份额是思科。虽然惠普和锦在2层网络交换机市场取得了长足的进步，思科仍在网络行业的许多人视为金标准。然而，因为思科产品广泛部署，他们不能幸免被攻击者最喜欢的目标。
例如，在回溯5 Linux发行版中，有一组专门用于Cisco设备的工具。分布也配备了许多安全功能和软件来帮助安全管理员执行渗透测试和检查各系统中的漏洞。虽然这些工具主要用于审计，这些工具经常被攻击者发现基本的漏洞，如密码漏洞研究，可以发现通过John the Ripper。
幸运的是，企业安全专家现在准备开始使用回溯5（版本第三）。如果您还没有安装回溯，请尽快安装它。然后，开始检查易受攻击的网络设备（当然，在您获得企业许可后），并找到以下目录：
/ / / pentest思科思科全球开发者
运行Perl文件命名为cge.pl，没有选项。根据运行的不同版本，有14种不同的选项，在屏幕上，每个指的是一个脚本，尝试利用不同的弱点。这可以帮助企业更有效地测试的外部接口，和企业应该测试它经常。假设测试路由器有一个外部IP地址200.1.1.1，输入以下命令：
cge.pl 200.1.1.1。 / 2
这将运行的外部接口的漏洞（使用期权两），和Cisco IOS路由器的拒绝服务漏洞。如果路由器有漏洞，消息将在标准输出显示：漏洞被成功使用。目标服务器关闭
现在，思科的漏洞被大量使用，这些漏洞被打包在一个平台中，如果它们落入坏人手中将会造成严重后果。上面的例子只是许多现有漏洞中的一个。因此，如果这项工作不是您的首要任务，请运行此操作并记录结果。在不久的将来，你需要修理它们。
BGP重定向的风险
使用网络设备的另一个潜在危险是数据丢失。虽然有几种不同的攻击方式，但称为BGP重定向的攻击方法越来越令人头痛。
首先，BGP是的internet.bgp核心协议用于网关主机。交换路由信息和独特的标识—。自治系统号（ASN）是由互联网编号分配机构（IANA）或指定区域互联网注册机构（RIR）。包通过ISP网关时，网关可以确定ISP的单包是通过检查数据包报头中的天冬酰胺。
在许多情况下，攻击者将发布路线或ASN知道他们属于另一个自治系统内的企业。例如，如果一家银行属于1，攻击者运行BGP路由器在AS2，他们只需要伪装自己的路由器1，许多交通1将被重定向到AS2。这是一个很简单的例子，但这个漏洞是很容易使用。
超越防火墙
在前一篇文章中，我们提到了网络攻击者获得访问路由器或交换机管理的灾难性后果，如果攻击者能够访问防火墙管理，后果将更加严重，对于任何企业网络来说，防火墙是主要的防御机制。如果攻击者获得关闭防火墙或允许它允许某些流量的权限，结果可能是毁灭性的。
例如，如果子网200.1.1.1 / 24被视为恶意，安全管理员负责配置访问控制列表（ACL）来阻止所有传入和传出的流量的子网，如果攻击者成功的防火墙管理权，他们可以网络流量的授权，当然可以；游戏；生产各种恶意流量和请求系统。
人的因素
各种防火墙厂商将不定期公布已知的漏洞，这可能或不修复补丁。例如，思科安全公告，响应和通知网站为最终用户提供了解思科所有产品，包括防火墙的最新安全问题的一个方便的数据库。我发现思科通常完全公开了已知的漏洞发布修复补丁。这主要是因为思科投入了大量资金来研究其产品的安全性。
总之，如果企业部署思科的基础设施，没有理由保持对最新漏洞的了解。许多企业没有专门的人员来监控最新版本或漏洞，这主要是由于其对思科和其他供应商的依赖，让他们知道不安全问题。说，这是一个严重的问题，但它仍然是系统管理员选择的一种方式。因此，负责管理企业防火墙基础设施的人员必须努力了解最新的修复补丁，漏洞监测及其他可能的问题。
防止路由器、交换机和防火墙受到攻击
那么，我们应该如何防止企业网络受到路由器、交换机或防火墙的攻击呢在第一个例子中，定期审核是一个很好的方法。从回溯开始，使用平台中的丰富工具。请确保在必要时更新它，并确保出厂默认密码完全清除。每个人都知道思科的默认用户名和默认密码都是思科。
对BGP的脆弱性：最有效的方法是解决在ISP层面上的问题。很多研究涉及使用公钥基础设施（PKI）自治系统之间，而且在ISP层面。在网络层面，当然最好的方法，就是监控路由一个入境包和搜索中的任何例外。例如，如果有一个数据包，似乎来自ISP的自治系统，不接收路由从它，它可能需要一个对话的系统管理员和服务提供商的员工。
另外，我喜欢把企业路由器放在配置良好的防火墙后面，但是我们应该通过严格执行的ACL来配置路由器，这样负担就不完全在防火墙上了。
为了避免防火墙攻击的最佳实践，企业应重点防止所有入站和出站流量，默认情况下，鼓励用户解释为什么一些交通应该通过防火墙。此外，它严格控制谁有带外管理访问防火墙和每个管理员允许访问管理功能换句话说，有些人可能会被防火墙访问管理权限，但从操作安全的角度出发，他们只能从局域网访问而不是从他们的住所或出国访问管理资源。最后，监测，研究，和保持最新的更新，补丁和安全漏洞在您现有的防火墙的信息公共基础设施。
记住以上建议，安全管理员必须仔细配置路由器和交换机，不仅要确保严格控制，而且要确保它们的性能不受影响。如果您不这样做，它可能意味着您是幸存者的牺牲品。
对网络资源的远程连接已经成为现代企业中许多员工的需要，无论是通过VPN、远程桌面还是SSH实现连接，都不可避免地要经过路由器、交换机和防火墙等网络，这些设备中的许多都容易受到攻击。
安全行业和企业管理人员都意识到了这个问题，攻击者意识到这些设备存在漏洞，具有基本网络知识的恶意人员可以成功地攻击路由器、交换机和防火墙，窃取业务信息甚至中断通信。
在本文中，我们将讨论为什么这些设备容易受到攻击。现在有多少恶意网络攻击针对路由器、交换机和防火墙，企业应该采取什么措施来保护他们的网络
攻击Cisco路由器或交换机
从其核心路由和交换的过程，无非是在网络的移动数据包。在这个过程的原理来看，路由器和交换机一般被认为是简单的输送设备。但是，应该指出的是，一旦有人访问任何类型的管理接入路由器或交换机，他们可能造成严重破坏。
首先，让我们在一个路由器或交换机可以被攻击的方式看，在路由和交换市场的大部分市场份额是思科。虽然惠普和锦在2层网络交换机市场取得了长足的进步，思科仍在网络行业的许多人视为金标准。然而，因为思科产品广泛部署，他们不能幸免被攻击者最喜欢的目标。
例如，在回溯5 Linux发行版中，有一组专门用于Cisco设备的工具。分布也配备了许多安全功能和软件来帮助安全管理员执行渗透测试和检查各系统中的漏洞。虽然这些工具主要用于审计，这些工具经常被攻击者发现基本的漏洞，如密码漏洞研究，可以发现通过John the Ripper。
幸运的是，企业安全专家现在准备开始使用回溯5（版本第三）。如果您还没有安装回溯，请尽快安装它。然后，开始检查易受攻击的网络设备（当然，在您获得企业许可后），并找到以下目录：
/ / / pentest思科思科全球开发者
运行Perl文件命名为cge.pl，没有选项。根据运行的不同版本，有14种不同的选项，在屏幕上，每个指的是一个脚本，尝试利用不同的弱点。这可以帮助企业更有效地测试的外部接口，和企业应该测试它经常。假设测试路由器有一个外部IP地址200.1.1.1，输入以下命令：
cge.pl 200.1.1.1。 / 2
这将运行的外部接口的漏洞（使用期权两），和Cisco IOS路由器的拒绝服务漏洞。如果路由器有漏洞，消息将在标准输出显示：漏洞被成功使用。目标服务器关闭
现在，思科的漏洞被大量使用，这些漏洞被打包在一个平台中，如果它们落入坏人手中将会造成严重后果。上面的例子只是许多现有漏洞中的一个。因此，如果这项工作不是您的首要任务，请运行此操作并记录结果。在不久的将来，你需要修理它们。
BGP重定向的风险
使用网络设备的另一个潜在危险是数据丢失。虽然有几种不同的攻击方式，但称为BGP重定向的攻击方法越来越令人头痛。
首先，BGP是的internet.bgp核心协议用于网关主机。交换路由信息和独特的标识—。自治系统号（ASN）是由互联网编号分配机构（IANA）或指定区域互联网注册机构（RIR）。包通过ISP网关时，网关可以确定ISP的单包是通过检查数据包报头中的天冬酰胺。
在许多情况下，攻击者将发布路线或ASN知道他们属于另一个自治系统内的企业。例如，如果一家银行属于1，攻击者运行BGP路由器在AS2，他们只需要伪装自己的路由器1，许多交通1将被重定向到AS2。这是一个很简单的例子，但这个漏洞是很容易使用。
超越防火墙
在前一篇文章中，我们提到了网络攻击者获得访问路由器或交换机管理的灾难性后果，如果攻击者能够访问防火墙管理，后果将更加严重，对于任何企业网络来说，防火墙是主要的防御机制。如果攻击者获得关闭防火墙或允许它允许某些流量的权限，结果可能是毁灭性的。
例如，如果子网200.1.1.1 / 24被视为恶意，安全管理员负责配置访问控制列表（ACL）来阻止所有传入和传出的流量的子网，如果攻击者成功的防火墙管理权，他们可以网络流量的授权，当然可以；游戏；生产各种恶意流量和请求系统。
人的因素
各种防火墙厂商将不定期公布已知的漏洞，这可能或不修复补丁。例如，思科安全公告，响应和通知网站为最终用户提供了解思科所有产品，包括防火墙的最新安全问题的一个方便的数据库。我发现思科通常完全公开了已知的漏洞发布修复补丁。这主要是因为思科投入了大量资金来研究其产品的安全性。
总之，如果企业部署思科的基础设施，没有理由保持对最新漏洞的了解。许多企业没有专门的人员来监控最新版本或漏洞，这主要是由于其对思科和其他供应商的依赖，让他们知道不安全问题。说，这是一个严重的问题，但它仍然是系统管理员选择的一种方式。因此，负责管理企业防火墙基础设施的人员必须努力了解最新的修复补丁，漏洞监测及其他可能的问题。
防止路由器、交换机和防火墙受到攻击
那么，我们应该如何防止企业网络受到路由器、交换机或防火墙的攻击呢在第一个例子中，定期审核是一个很好的方法。从回溯开始，使用平台中的丰富工具。请确保在必要时更新它，并确保出厂默认密码完全清除。每个人都知道思科的默认用户名和默认密码都是思科。
对BGP的脆弱性：最有效的方法是解决在ISP层面上的问题。很多研究涉及使用公钥基础设施（PKI）自治系统之间，而且在ISP层面。在网络层面，当然最好的方法，就是监控路由一个入境包和搜索中的任何例外。例如，如果有一个数据包，似乎来自ISP的自治系统，不接收路由从它，它可能需要一个对话的系统管理员和服务提供商的员工。
另外，我喜欢把企业路由器放在配置良好的防火墙后面，但是我们应该通过严格执行的ACL来配置路由器，这样负担就不完全在防火墙上了。
为了避免防火墙攻击的最佳实践，企业应重点防止所有入站和出站流量，默认情况下，鼓励用户解释为什么一些交通应该通过防火墙。此外，它严格控制谁有带外管理访问防火墙和每个管理员允许访问管理功能换句话说，有些人可能会被防火墙访问管理权限，但从操作安全的角度出发，他们只能从局域网访问而不是从他们的住所或出国访问管理资源。最后，监测，研究，和保持最新的更新，补丁和安全漏洞在您现有的防火墙的信息公共基础设施。
记住以上建议，安全管理员必须仔细配置路由器和交换机，不仅要确保严格控制，而且要确保它们的性能不受影响。如果您不这样做，它可能意味着您是幸存者的牺牲品。
声明：本文内容用于数码产品信息整理与选购参考，具体价格、库存、售后政策以官方渠道和电商页面实时信息为准。