جعفر قنبری شوهانی
مهندس و مدرس زیرساخت و امنیت و مدیر ارشد وب سایت توسینسو

معرفی 11 نکته و مکانیزم در امنیت و محافظت Data Plane سیسکو

در ادامه مبحث NFP به امن کردن data plane می رسیم که در اینجا Best Practices برای امن کردن آن را برای شما عزیزان فراهم کرده ایم. با ما همراه باشید.

دوره های شبکه، برنامه نویسی، مجازی سازی، امنیت، نفوذ و ... با برترین های ایران

Best Practices برای محافظت از Data Plane

برای امن کردن data plane موارد زیر را دنبال کنید :

  1. جلوی ترافیک ناخواسته روی روتر را بگیرد. اگر سیاست های سازمان اجازه استفاده از پروتکل خاصی را نمی دهد می توانید با استفاده از ACLs جلوی ترافیک مربوط به آن پروتکل را بگیرید. شما می توانید ACL ها را در جهت inbound یا outbound هر اینترفیس روتر فعال کنید. با استفاده از extended ACLs می توانید براساس آدرس source و destination فیلترینگ را انجام دهید در نتیجه می توانید فیلترینگ در نزدیکترین محل به مبدا اعمال کنید و به این شکل از هدر رفتن پهنای باند و منابع تجهیزات در طول مسیر جلوگیری می شود. فیلترینگ براساس پروتکل یا ترافیکی که می تواند به عنوان ترافیک مخرب شناخته شود ، مفید می باشد.
  2. کاهش احتمال حمله DoS با استفاده از تکنیک هایی مانند TCP Intercept و سرویس های firewall می توان ریسک حمله SYN-flood را کاهش داد.
  3. کاهش حملات مربوط به جعل ، به طور مثال شما می توانید بسته های که قصد ورود به شبکه شما را دارند (از خارج شبکه) و ادعا دارند که آدرس مبدا آنها از شبکه داخلی را فیلتر کنید.
  4. مدیریت پهنای باند ، اعمال rate-limiting برای انواع مشخص از ترافیک می تواند باعث کاهش خطر حملات شود به طور مثال (Internet Control Message Protocol (ICMP باید به صورت نرمال و با مقدار کم مورد استفاده قرار گیرد.
  5. در صورت امکان از یک IPS استفاده کنید تا بتواند با کنترل دقیق تر از ورود ترافیک مخرب به شبکه جلوگیری کند.

مکانیزم های تکمیلی برای محافظت از Data Plane

به طور معمول ، برای محافظت از data plane ما به لایه 3 و روتر فکر می کنم. بدیهی است که اگر ترافیک از طریق سوئیچ هدایت شود عملکرد لایه دو را شامل خواهد شد در نتیجه استفاده از مکانیزم های لایه 2 برای کمک به محافظت از data plane می تواند مفید باشد. این مکانیزم ها به شرح زیر است :

  1. Port security : براساس کنترل MAC آدرس می توانید از برخی از حملات لایه دو مانند MAC address flooding جلوگیری کنید. در صورتی که جدول MAC سوئیچ پر شود و دیگر نتواند رکوردی جدیدی را در این جدول قرار دهد سپس بسته های دریافتی که مقصد آنها را در جدول MAC نداشته باشد روی تمام اینترفیس های خود در آن VLAN ارسال خواهد کرد و به این شکل امکان استراق سمع برای مهاجم فراهم می شود.
  2. Dynamic Host Configuration Protocol (DHCP) snooping : از جعل DHCP سرور در شبکه جلوگیری می کند و همچنین از حمله DHCP starvation که باعث خالی شدن DHCP pool می شود جلوگیری می کند و به این شکل از اقدامات بعدی مهاجم جلوگیری می شود.
  3. (Dynamic ARP inspection (DAI : از حملات Address Resolution Protocol (ARP) spoofing و ARP poisoning که منجر به حملات man-in-the-middle می شود جلوگیری می کند.
  4. IP Source Guard : زمانی که در سوئیچ فعال شود بررسی می کند که توسط دستگاه های متصل به سوئیچ جعل IP رخ ندهد.
  5. 802.1x : با استفاده از این قابلیت می توانید دسترسی کلاینت ها به شبکه را در لایه کنترل کنید.
  6. Private VLAN : با این مکانیزم می توانیم ارتباط بین پورت های سوئیچ را محدود و مشخص کنیم.
وب سایت توسینسو

جعفر قنبری شوهانی
جعفر قنبری شوهانی

مهندس و مدرس زیرساخت و امنیت و مدیر ارشد وب سایت توسینسو

جعفر قنبری شوهانی ، مهندس و مدرس شبکه ، آشنایی من با شبکه برمی گرده به سال 1382 که دوره NT و Novel رو گذروندم و الان بیشتر از 10 ساله سابقه اجرایی در سطح Enterprise (بانک ها ، موسسه مالی ، ادارات دولتی ، سرویس پروایدر) را دارم و در حال حاضر به عنوان مهندس شبکه در شرکت توزیع برق مشهد و به عنوان مدیر ارشد و مدرس شبکه در سایت ToSinSo مشغول به کار هستم. در اکثرا حوزه های شبکه کار کردم و تجربه دارم اما تخصص اصلیم رو در حوزه زیرساخت و امنیت اون میدونم

نظرات