臺中縣網(wǎng)路病毒防制系統(tǒng)經(jīng)驗與分享

臺中縣教育網(wǎng)路中心黃國順一、序論現(xiàn)今網(wǎng)管的困難分散式拒絕服務(wù)攻擊(Distributeddenialofservice)DDoS難以阻擋的原因攻擊來源數(shù)量大使用偽裝IP技術(shù)避免成為攻擊別人的「幫手」DDoS在發(fā)動之初必須,散佈大量攻擊程式現(xiàn)今的手法是藉由電腦病毒來散佈主動積極的防制方式為：1.定期更新修補作業(yè)系統(tǒng)或軟體的漏洞（如安裝urh）。2.安裝防毒軟體並定散更新病毒碼。3.安裝架設(shè)防火牆。本篇報告的方法：藉由網(wǎng)管手段找出可能的網(wǎng)路病毒來源IP並加以封鎖隔離，以減少網(wǎng)路病毒散佈的範(fàn)圍，降低其它電腦被感染的機率。MultiRouterTrafficGrapher(MRTG)圖表MRTG無法提供更詳?shù)馁Y料Netflow分析臺南市網(wǎng)的作法.tw/sammy/netflow/detect.htm阻擋中毒的電腦設(shè)定ciscorouterACL(accesscontrollist)的方法先設(shè)定要阻擋的

ip的

access-listconftaccess-list10deny…..…..access-list10permitany(最後一定要加這行,否則會全擋)^z針對往區(qū)網(wǎng)的

interface設(shè)定access-group例如

：conftintatm5/0/0.1000ipaccess-group10inipaccess-group15out

^z以人工方式比對、設(shè)定ACL、

通知連線單位網(wǎng)管人員、解除ACL整個過程繁瑣，對於擁有超過兩百三十個以上連線單位的臺中縣教網(wǎng)來說，要做好網(wǎng)管真的很困難。

二、系統(tǒng)運作原理及架構(gòu)Netflow流量記錄sifsipdifdipPsportdportpacketssize497160637461393144497160637471393144497160637481393144497160637491393144497160637501393144497160637511393144497160637521393144497160637531393144497160637541393144497160063755139314449716016375613931444971602637571393144497160363758139314449716046375913931444971605637601393144497160663761139314449716086376313931444971609637641392964971600637651393144運作架構(gòu)圖四、Netflow流量分析架設(shè)交大.tw/netflow.html及臺南市網(wǎng).tw/sammy/netflow/setup.htm四、在資料庫中建立相關(guān)資料表m_unit：單位基本資料

m_unit_ip：單位網(wǎng)路資料，用來判斷封包來源或目的IP所屬單位時使用

unit_service：單位伺服器資料，各單位登記其各類伺服器以減少誤判的發(fā)生

lock_type：鎖定類別。

lk_addr_in：內(nèi)部鎖定IP

lk_addr_out：外部鎖定IP

五、網(wǎng)路病毒偵測程式flowscan_new.pl程式1.連結(jié)資料庫2.篩選累計3.排序擷取超過門檻值的IP4.新增至資料庫及發(fā)送E-mail目前中縣教網(wǎng)已撰寫好的副程式為：likecoderedscanport137likenimdalikemailviruslikeslapperlikeddos_dp_80_2_96likeddos_dp_445_2_96likeddos_dp_1434_1_404flowscan.pl六、自動封鎖IP的機制手動設(shè)定麻煩易出錯如何自動設(shè)定ACL?利用Expect這套軟體：將手動設(shè)定時與router間的interactive以程式自動化命令說明exp_send輸出字串給該程式expect核對該程式的輸出字串spawn執(zhí)行一個程式interact.將控制權(quán)交給真人自動封鎖IP的步驟執(zhí)行control65acl.pl由資料庫中查詢出需要封鎖的IP執(zhí)行expectexpect_ac