第8章 网络攻击与防护
8.计算机信息安全(答案)
答案第8章计算机信息安全（单选题）完成下列题目，这些题目与期末考试题或将来的统考题类似，请同学们认真做一遍。
注意：上传你所做的答案后就可以下载我的参考答案。
一．计算机安全定义、计算机安全属性1、计算机系统安全通常指的是一种机制，即_____A_。
A。
只有被授权的人才能使用其相应的资源——-—对！B.自己的计算机只能自己使用C。
只是确保信息不暴露给未经授权的实体D.以上说法均错[解析］略。
2、计算机安全属性包含如下几个方面：可用性、可靠性、完整性、____C_和不可抵赖性（也称不可否认性）。
（请看解析）A。
可靠性B.完整性C.保密性D.以上说法均错[解析］参考p。
286。
在此给出关于计算机安全的5个基本属性：●完整性,是防止对信息的不当删除、修改、伪造、插入等破坏.●保密性，是指确保信息不暴露给未经授权的实体.●可用性，是指得到授权的实体在需要时能访问资源和得到服务。
●可靠性，是在规定的条件下和规定的时间内完成规定的功能。
●不可抵赖性（又称不可否认性），是指通信双方对其收发过的信息均不可抵赖。
3、信息安全的属性不包括____D_。
A。
保密性B.可用性C.可控性D.合理性[解析］选D。
可控性是什么？对于网络信息安全而言，还需要考虑可控性,所谓可控性是指对信息的传播及内容具有可控制能力.4、计算机信息安全属性不包括_____A_.A.语意正确性B。
完整性C。
可用性服务和可审性D.保密性［解析]略5、下面，关于计算机安全属性不正确的是____C__。
A。
计算机的安全属性包括：保密性、完整性、不可抵赖性、可靠性等B.计算机的安全属性包括：保密性、完整性、不可抵赖性、可用性等C。
计算机的安全属性包括：可用性、可靠性、完整性、正确性等D.计算机的安全属性包括：保密性、完整性、可用性、可靠性等6、得到授权的实体需要时就能得到资源和获得相应的服务，这一属性指的是____B__。
A。
保密性B.可用性C.完整性D.可靠性7、系统在规定条件下和规定时间内完成规定的功能,这一属性指的是_____D_。
网络安全与应用技术-第8章 网络监听与防御技术
软件嗅探器便宜易于使用，缺点是往往无 法抓取网络上所有的传输数据(比如碎片)，也 就可能无法全面了解网络的故障和运行情况；
������ 硬件嗅探器的通常称为协议分析仪，它 的优点恰恰是软件嗅探器所欠缺的，但是价格 昂贵。
������ 目前主要使用的嗅探器是软件的。
2．Sniffer软件的主要工作机制及常用软件 需要一个直接与网卡驱动程序接口的驱动模
块，作为网卡驱动与上层应用的“中间人”，它 将网卡设置成混杂模式，并从上层Sniffer接收 下达的各种抓包请求，对来自网卡驱动程序的数 据帧进行过滤，最终将符合Sniffer要求的数据 返回给Sniffer。
链路层的网卡驱动程序上传的数据帧就有了
两个去处：一个是正常的协议栈，另一个就是分 组捕获即过滤模块，对于非本地的数据包，前者 会丢弃（通过比较目的IP地址），而后者则会根 据上层应用的要求来决定上传还是丢弃。
2．交换机 (1) 交换机的原理：
交换机是一种网络开关（Switch），也称交 换器，由于和电话交换机对出入线的选择有相似 的原理，因此被人称为交换机。
交换机在局域网的环境下，工作在比集线器
更高一层链路层上。交换机被定义成一个能接收 发来的信息帧，加以暂时存储，然后发到另一端 的网络部件，其本质上就是具有流量控制能力的 多端口网桥。
点到点网络传输技术：点到点网络由一对对 机器之间的多条连接构成，分组的传输是通 过这些连接直接发往目标机器，因此不存在 发送分组被多方接收的问题。
3．网卡的四种工作模式
（1）广播模式：该模式下的网卡能够接收网络中 的广播信息。
（2）组播模式：该模式下的网卡能够接受组播数 据。
（3）直接模式：在这种模式下，只有匹配目的 MAC地址的网卡才能接收该数据帧。
网络安全习题选择和填空
第 1 章网络安全概括练习题1.选择题（1）在短时间内向网络中的某台服务器发送大批无效连结恳求，致使合法用户暂时无法接见服务器的攻击行为是破坏了（）。
A．机密性B．完好性C．可用性D．可控性（ 2） Alice 向 Bob 发送数字署名的信息M，则不正确的说法是( ) 。
A． Alice 能够保证Bob 收到信息MB． Alice 不行否定发送信息MC． Bob 不可以假造或改变信息MD． Bob 能够考证信息M的确根源于Alice（ 3）入侵检测系统(IDS ， Intrusion Detection System) 是对 ( ) 的合理增补，帮助系统应付网络攻击。
A．互换机B．路由器C．服务器D．防火墙（4）依据统计显示， 80%的网络攻击源于内部网络，所以，一定增强对内部网络的安全控制和防备。
下边的举措中，无助于提升局域网内安全性的举措是()。
A．使用防病毒软件B．使用日记审计系统C．使用入侵检测系统D．使用防火墙防备内部攻击(5) 典型的网络安全威迫不包含A. 窃听B.假造( ) 。
C. 身份认证D. 拒绝服务攻击2.填空题（ 1）网络安全的基本因素主要包含、、、可控性与不行狡辩性。
（ 2）是指在散布式网络环境中，对信息载体（办理载体、储存载体、传输载体）和信息的办理、传输、储存、接见供给安全保护，以防备数据、信息内容遇到破坏、改正、泄漏，或网络服务中止或拒绝服务或被非受权使用和窜改。
（ 3）是最近几年来盛行的另一种新式网络攻击手段，黑客成立一个网站，经过模仿银行、购物网站、炒股网站、彩票网站等，诱骗用户接见。
（ 4）是网络的第一道防线，它是设置在被保护网络和外面网络之间的一道屏障，以防备发生不行展望的、潜伏破坏性的入侵，（ 5）是网络的第二道防线，入侵检测是指经过对行为、安整日记或审计数据或其余网络上能够获取的信息进行操作，检测到对系统的闯进或闯进的妄图。
（ 6）Vmware虚构机里的网络连结有三种，分别是桥接、、。
计算机网络安全第八章IDS
误用检测模型
目录>>IDS的分类>>按照分析方法分
2 之 1
网络数据
日志数据
误用检测
入侵行为
攻击模式描述库
规则匹配
动态产生新描述动态更新描述
特 点
目录>>IDS的分类>>按照分析方法分
2 之 2
误报率低，漏报率高。攻击特征的细微变化，会使得误用检测无能为力。
按照数据来源分
目录
10 之 8
建立预警机制采取灾备措施提高保障意识
从预警到保障
IDS发展过程
— 概念的诞生
目录
10 之 9
1980年4月，James P. Anderson为美国空军做了一份题为《Computer Security Threat Monitoring and Surveillance》（计算机安全威胁监控与监视）：
异常检测模型
目录>>IDS的分类>>按照分析方法分
2 之 1
网络数据
日志数据
异常检测
入侵行为
正常行为描述库
规则不匹配
动态产生新描述动态更新描述
特 点
目录>>IDS的分类>>按照分析方法分
异常检测系统的效率取决于用户轮廓的完备性和监控的频率；因为不需要对每种入侵行为进行定义，因此能有效检测未知的入侵；系统能针对用户行为的改变进行自我调整和优化，但随着检测模型的逐步精确，异常检测会消耗更多的系统资源；漏报率低，误报率高。
统计分析
目录>>IDS的基本结构>>信息分析
统计分析方法首先给系统对象（如用户、文件、目录和设备等）创建一个统计描述，统计正常使用时的一些测量属性（如访问次数、操作失败次数和延时等）。 测量属性的平均值和偏差将被用来与网络、系统的行为进行比较，任何观察值在正常值范围之外时，就认为有入侵发生。
信息技术(拓展模块)(计算机与移动终端维护 小型网络系统搭建 信息安全保护)教学教案
信息技术（拓展模块）：计算机与移动终端维护、小型网络系统搭建、信息安全保护教学目标：1. 了解计算机与移动终端的硬件组成及其维护方法。
2. 掌握小型网络系统的搭建步骤及技巧。
3. 提高信息安全保护意识，学习基本的信息安全保护方法。
教学内容：第一章：计算机与移动终端维护1.1 计算机硬件组成及其功能1.2 移动终端硬件组成及其功能1.3 计算机与移动终端的维护方法第二章：小型网络系统搭建2.1 网络基础知识2.2 网络设备及其功能2.3 小型网络系统搭建步骤第三章：信息安全保护3.1 信息安全概述3.2 计算机病毒与防范3.3 网络攻击与防范第四章：计算机硬件维护与升级4.1 计算机硬件检测工具4.2 硬件故障排查与解决4.3 硬件升级方案与技巧第五章：移动终端维护与优化5.1 移动终端操作系统介绍5.2 移动终端维护方法与技巧5.3 移动终端性能优化方法教学方法：1. 采用讲授法讲解基本概念和原理。
2. 使用案例分析法分析实际问题，提高学生解决问题的能力。
3. 实践操作法：引导学生动手实践，培养实际操作能力。
教学环境：多媒体教室、计算机实验室教学评价：1. 课堂问答：检查学生对基本概念的理解。
2. 小组讨论：评估学生在解决问题和团队合作方面的能力。
3. 实践操作：评价学生的实际操作技能和安全意识。
教学资源：1. 教材：《信息技术（拓展模块）》2. 课件：教师自制的多媒体课件3. 网络资源：用于拓展学生视野的相关在线资料第六章：网络设备及其维护6.1 交换机与路由器的工作原理6.2 网络设备的配置与管理6.3 网络设备维护与故障排除第七章：网络系统安全策略7.1 网络安全威胁与防护措施7.2 防火墙与入侵检测系统7.3 安全策略的制定与实施第八章：数据备份与恢复8.1 数据备份的方法与技术8.2 数据恢复原理与工具8.3 数据备份与恢复策略的制定第九章：云服务平台应用9.1 云计算基本概念与架构9.2 云服务平台的选用与使用9.3 云服务平台的安全问题与保护措施第十章：信息技术前沿10.1 与大数据技术10.2 物联网与智慧城市10.3 信息技术发展趋势与展望第六章至第十章的教学方法、教学环境、教学评价和教学资源可以参照前五章的内容进行相应的调整和补充。
网络信息安全防御手册
网络信息安全防御手册第1章基础知识 (3)1.1 信息安全概述 (3)1.2 常见网络攻击手段 (4)1.3 安全防御策略 (4)第2章物理安全 (5)2.1 服务器与网络设备安全 (5)2.1.1 设备放置 (5)2.1.2 访问控制 (5)2.1.3 设备保护 (5)2.1.4 线路安全 (5)2.2 数据中心安全 (5)2.2.1 数据中心选址 (5)2.2.2 环境安全 (5)2.2.3 网络隔离 (6)2.2.4 安全审计 (6)2.3 办公环境安全 (6)2.3.1 办公设施安全 (6)2.3.2 访客管理 (6)2.3.3 信息安全意识培训 (6)2.3.4 资产管理 (6)第3章网络边界防御 (6)3.1 防火墙配置与管理 (6)3.1.1 防火墙概述 (6)3.1.2 防火墙类型及选择 (6)3.1.3 防火墙配置原则 (7)3.1.4 防火墙策略配置 (7)3.1.5 防火墙日志管理 (7)3.1.6 防火墙维护与升级 (7)3.2 入侵检测与防御系统 (7)3.2.1 入侵检测与防御系统概述 (7)3.2.2 入侵检测与防御系统部署 (7)3.2.3 入侵检测与防御系统配置 (7)3.2.4 入侵检测与防御系统联动 (7)3.2.5 入侵检测与防御系统日志分析 (7)3.3 虚拟专用网络（VPN） (8)3.3.1 VPN概述 (8)3.3.2 VPN部署场景 (8)3.3.3 VPN设备选型与配置 (8)3.3.4 VPN功能优化 (8)3.3.5 VPN安全防护 (8)3.3.6 VPN故障排除 (8)第4章认证与访问控制 (8)4.1 用户身份认证 (8)4.1.1 用户名与密码 (8)4.1.2 二维码扫码认证 (9)4.1.3 多因素认证 (9)4.2 权限管理 (9)4.2.1 基于角色的访问控制（RBAC） (9)4.2.2 基于属性的访问控制（ABAC） (9)4.2.3 权限审计与调整 (9)4.3 访问控制策略 (9)4.3.1 防火墙策略 (9)4.3.2 入侵检测与防御系统（IDS/IPS） (9)4.3.3 安全审计 (9)4.3.4 虚拟专用网络（VPN） (10)4.3.5 数据加密 (10)第5章加密技术 (10)5.1 对称加密与非对称加密 (10)5.2 数字签名 (10)5.3 证书与公钥基础设施（PKI） (10)第6章恶意代码防范 (11)6.1 病毒与木马 (11)6.1.1 病毒防范策略 (11)6.1.2 木马防范措施 (11)6.2 蠕虫与僵尸网络 (11)6.2.1 蠕虫防范策略 (11)6.2.2 僵尸网络防范措施 (11)6.3 勒索软件与挖矿病毒 (12)6.3.1 勒索软件防范策略 (12)6.3.2 挖矿病毒防范措施 (12)第7章应用程序安全 (12)7.1 网络应用漏洞分析 (12)7.1.1 常见网络应用漏洞类型 (12)7.1.2 漏洞产生原因 (12)7.1.3 漏洞防御措施 (13)7.2 安全编码实践 (13)7.2.1 安全编码原则 (13)7.2.2 安全编码技巧 (13)7.2.3 安全编码规范 (13)7.3 应用层防火墙 (13)7.3.1 应用层防火墙原理 (14)7.3.2 应用层防火墙部署 (14)7.3.3 应用层防火墙优化 (14)第8章数据安全与备份 (14)8.1 数据加密与脱敏 (14)8.1.1 数据加密技术 (14)8.1.2 数据脱敏技术 (14)8.2 数据库安全 (14)8.2.1 访问控制 (15)8.2.2 审计 (15)8.2.3 加密 (15)8.3 数据备份与恢复 (15)8.3.1 数据备份策略 (15)8.3.2 备份技术 (15)8.3.3 恢复方法 (15)第9章安全运维 (15)9.1 安全事件监控与响应 (15)9.1.1 安全事件监控 (15)9.1.2 安全事件响应 (16)9.2 安全审计与合规性检查 (16)9.2.1 安全审计 (16)9.2.2 合规性检查 (16)9.3 安全运维工具与平台 (16)9.3.1 安全运维工具 (16)9.3.2 安全运维平台 (17)第10章防御策略与实战案例 (17)10.1 综合防御策略制定 (17)10.1.1 防御策略概述 (17)10.1.2 制定防御策略的步骤 (17)10.2 安全防护体系建设 (18)10.2.1 网络边界防护 (18)10.2.2 内部网络防护 (18)10.2.3 数据安全防护 (18)10.3 实战案例分析及应对措施 (18)10.3.1 案例一：勒索软件攻击 (18)10.3.2 案例二：网络钓鱼攻击 (19)10.3.3 案例三：跨站脚本攻击（XSS） (19)第1章基础知识1.1 信息安全概述信息安全是指保护计算机系统中的信息资源，保证其不受未经授权的访问、泄露、篡改、破坏和丢失的措施。
电子商务之安全技术概述
信息保密
信息完整 身分认证 不可抵赖
加密技术 认证技术
信息有效
网络交易安全
参与对象之间交易过程的安全;如安全套接层协议 SSL 安全电子交易协议SET 公钥基础设施PKI
电子商务概论
8-13
安全应用 信息安全 网络安全
电子商务业务系统
电子商务支付系统
安全交易协议 SET、SSL、S/HTTP、S/MIME 、PKI•••
电子商务概论
8-33
维吉尼亚密码——置换移位法
人们在单一恺撒密码的基础上扩展出多表密码;称为维 吉尼亚密码 它是由16世纪法国亨利三世王朝的布莱 瑟·维吉尼亚发明的;其特点是将26个恺撒密表合成一个
以置换移位为基础的周期性替换密码
明文w e a r e d i s c o v e r e d s a v e y o u r s e l f 密钥d e c e p t i v e d e c e p t i v e d e c e p t i v e 密文z i c v t w q n g r z g v t w a v z h c q y g l m g j 密钥deceptive被重复使用
儿子收到电报抡噌庙叵后;根据相应的电报码手册得到： 2241 0886 1680 0672;按照事先的约定;分别减去100解密 密钥;就得到抛售布匹的信息
电子商务概论
8-29
数据加密基础知识
1976年;狄菲和海尔曼提出了密码体制的新概念—公钥密码 让两个国家的每一个人都具有两副锁和钥匙;每幅各有一把
安全认证技术 数字摘要、数字签名、数字信封、CA证书 •••
加密技术 非对称密钥加密、对称密钥加密、DES、RSA •••
安全策略、防火墙、查杀病毒、虚拟专用网
第八章 报文统计与攻击防范
操作 命令
启动IP欺骗攻击防范功能 firewall defend ip-spoofing
关闭IP欺骗攻击防范功能 undo firewall defend ip-spoofing
35
攻击防范基本配置
启动或关闭Land攻击防范功能
操作 启动Land攻击防范功能 关闭Land攻击防范功能 命令 firewall defend land undo firewall defend land
启动带路由记录选项IP报文控制功能
启动Tracert报文控制功能 启动Ping of Death攻击防范功能 启动Teardrop攻击防范功能 启动TCP报文合法性检测功能 启动IP分片报文检测功能 启动超大ICMP报文控制功能
启动Frag Flood攻击防范功能
启动WinNuke攻击防范功能 有关SYN Flood攻击防范配置
内部网络
防火墙
黑客
29
目录
报文统计概述 报文统计基本配置
攻击防范概述Biblioteka 攻击防范基本配置攻击防范基本配置
攻击防范基本配置包括
启动ARP Flood攻击防范功能
启动ARP欺骗攻击防范功能 启动IP欺骗攻击防范功能 启动Land攻击防范功能 启动Smurf攻击防范功能 启动Fraggle攻击防范功能 启动ICMP重定向报文控制功能 启动地址扫描攻击防范功能 启动端口扫描攻击防范功能 启动ARP反向查询攻击防范功能 启动ICMP不可达报文控制功能
启动或关闭系统统计功能
操作
启动系统统计功能
关闭系统统计功能
命令
firewall statistics system enable
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
10
.
05.12.2020
IP欺骗技术有如下三个特征：
（1）只有少数平台能够被这种技术 攻击，也就是说很多平台都不具有这方面 缺陷。
（2）这种技术出现的可能性比较小， 因为这种技术不好理解，也不好操作，只 有一些真正的网络高手才能做到这点。
（3）很容易防备这种攻击方法，如 使用防火墙等。
11
.
05.12.2020
12
.
05.12.2020
假定一个局域网内部存在某些信任关系。例 如，主机A信任主机B、主机B信任主机C， 则为了侵入该网络，黑客可以采用下面两种 方式。
（1）通过假冒机器B来欺骗机器A和C。
（2）通过假冒机器A或C来欺骗机器B。
为了假冒机器C去欺骗机器B，首要的 任务是攻击原来的C，使得C发生瘫痪。这是 一种拒绝服务的攻击方式。
9
.
05.12.2020
ACK的值为X+1，表示数据成功接收到，且 告知下一次希望接收到字节的SEQ是X+1。同 时，B向请求方A发送自己的SEQ，注意，这 个数值对黑客是不可见的。
第三步：黑客再次向服务方发送ACK， 表示接收到服务方的回应——虽然实际上他 并没有收到服务方B的SYN ACK响应。这次 它的SEQ值为X+1，同时它必须猜出ACK的 值，并加1后回馈给B主机。
6
.
05.12.2020
8.2 IPIP电欺子骗欺骗攻击是指利用TCP/IP本身的
缺陷进行的入侵，即用一台主机设备冒充另 外一台主机的IP地址，与其它设备通信，从 而达到某种目的的过程。它不是进攻的结果 而是进攻的手段。
7
.
05.12.2020
8.2.1 IIP地址 的技术。其实质就是让一台机器来扮演另 一台机器，以达到蒙混过关的目的。被伪 造的主机往往具有某种特权或者被另外的 主机所信任。
13
.
05.12.2020
8.2.2 IP欺骗的防止
1．抛弃基于地址的信任策略 2．进行包过滤 3．使用加密方法 4．使用随机化的初始序列号
14
.
05.12.2020
对于来自网络外部的欺骗来说，阻止这
种攻击的方法是很简单的，在局部网络的对 外路由器上加一个限制条件，只要在路由器 里面设置不允许声称来自于内部网络的外来 包通过就行了。如果网络存在外部的可信任 主机，那么路由器就无法防止别人冒充这些 主机而进行的IP欺骗。
8
.
05.12.2020
在IP欺骗的状态下，三次握手的情况如下：
第一步：黑客假冒A主机IP向服务方B 主机发送SYN，告诉B主机是他所信任的A 主机想发起一次TCP连接，序列号为数值X， 这一步实现比较简单，黑客将IP包的源地址 伪造为A主机IP地址即可。
第二步：服务方B产生SYN ACK响应， 并向请求方A主机（注意:是A，不是黑客， 因为B收到的IP包的源地址是A）发送ACK，
2
.
05.12.2020
也存在另外一个团体，其成员也称自
己为Hacker。这些人专门闯入计算机或入 侵电话系统，真正的Hacker称他们为入侵 者（Cracker），并且不愿意和他们在一起 做任何事。Hacker们认为这些人懒惰，不 负责任，并且不够光明正大。他们认为，
能破解安全系统并不能使你成为一位 Hacker。基本上，Hacker和Cracker之间 最主要的不同是，Hacker创造新东西， Cracker破坏东西。
第8章 网络攻击与防护
8.1
黑客及攻击
8.2
IP欺骗
8.3
拒绝服务攻击
8.4
侦察与工具
8.5
攻击与渗透
8.6
入侵监测系统IDS
8.7
1
审计结果
.
05.12.2020
8.1 黑客及攻击
1．黑客概述
在各种媒体上有许多关于Hacker这个名词的 定义，一般是指计算机技术的行家或热衷于解决 问题、克服限制的人。这可以追溯到几十年前第 一台微型计算机刚刚诞生的时代。那时有一个由 程序设计专家和网络名人所组成的具有分享特质 的文化族群。这一文化族群的成员创造了Hacker 这个名词。他们建立了Internet，创造出现在使 用的UNIX操作系统，并且让World Wide Web传 播开来，这就是最早的Hacker。
现在，人们所说的黑客是指Cracker。
3
.
05.12.2020
2．黑客常用的攻击方法
（1）获取口令 ➢通过网络监听，非法得到用户口令
➢知道用户的账号后利用一些专门软件强行 破解用户口令
➢获得一个服务器上的用户口令文件后，用 暴力破解程序破解用户口令
（2）放置特洛伊木马程序
4
.
05.12.2020
IP欺骗的对象
IP欺骗只能攻击那些完全实现了TCP/IP 协议，包括所有的端口和服务。
IP欺骗的实施
几乎所有的欺骗都是基于某些机器之间 的相互信任的。
黑客可以通过很多命令或端口扫描技术、 监听技术确定机器之间的信任关系，例如一 台提供服务的机器很容易被端口扫描出来， 使用端口扫描技术同样可以非常方便地确定 一个局部网络内机器之间的相互关系。
5
.
05.12.2020
（6）网络监听
在网络监听这种模式下，主机可以接收到本网段 在同一条物理通道上传输的所有信息，而不管这 些信息的发送发和接收方是谁。
（7）寻找系统漏洞 （8）利用账号进行攻击 利用操作系统提供的缺省账户和密码进行攻击
（9）偷取特权
黑客通过非法手段获得对用户机器的完全控制权， 甚至是整个网络的绝对控制权。
（3）WWW的欺骗技术
访问的网页被黑客篡改过，当用户浏览目标网页 的时候，实际上是向黑客服务器发出请求，那么 黑客就可以达到欺骗的目的了。
（4）电子邮件攻击 电子邮件轰炸和电子邮件“滚雪球”
电子邮件欺骗
（5）通过一个节点来攻击其他节点
黑客在突破一台主机后，以此主机作为根据地， 攻击其他主机，从而隐藏其入侵路径
当实施欺骗的主机在同一网络内时，攻 击往往容易得手，并且不容易防范。
15
.
05.12.2020
应该注意与外部网络相连的路由器，看它是 否支持内部接口。如果路由器有支持内部网络子 网的两个接口，则须警惕，因为很容易受到IP欺 骗。这也是为什么说将Web服务器放在防火墙外 面有时会更安全的原因。
检测和保护站点免受IP欺骗的最好办法就是 安装一个过滤路由器，来限制对外部接口的访问， 禁止带有内部网资源地址包通过。当然也应禁止 （过滤）带有不同内部资源地址的内部包通过路 由器到别的网上去，这就防止内部的用户对别的 站点进行IP欺骗。