服务案例|网络攻击事件的排查与修复

LinkSLA智能运维管家V6.0版支持通过SNMP Trap对设备进行监控告警，Trap是一种主动推送网络设备事件或告警消息的方式，与SNMP轮询（polling）不同，具有以下几点优势：

1. 实时监控与快速响应

SNMP Trap能够实时将告警主动发送到平台，无需等待采集器定期轮询，可更快地发现和响应故障问题。

2. 降低网络带宽消耗

相比polling轮询，Trap减少频繁查询请求，降低网络带宽使用。采集器无需定期轮询每个设备的状态，而是在设备出现重要事件时主动汇报 。

3. 可配置和灵活性

设备可配置发送不同类型的Trap消息，涵盖各种事件和状态变化，如设备重启、接口状态变化、阈值超限等。SNMP Trap可以灵活适应不同的监控需求和策略 。 

下面分享一起由Trap监控发现的网络攻击案例。

告警异常

5月17日平台上收到某用户的交换机“SDN-S6250当NFPP事件发生时，生成该消息”的告警，同时伴随大量端口离线和恢复的告警。   

查看告警详情，锁定是ARP-Dos网络攻击。告警描述信息中给出了源IP、MAC地址以及物理端口号，方便工程师进行快速定位问题。这种攻击通过发送大量虚假ARP请求或响应来消耗目标设备的资源，使其无法正常工作，可能导致网络中断、服务中断或数据包丢失，给网络安全和运行带来严重影响。

查找网络攻击源并处理

1、通知现场工程师，MOC工程师配合一起查找网络攻击源。      

2、现场工程师查看交换机日志，该端口出现大量up和down日志信息，禁用日志中出现的仪器设备。

3、设备禁用后持续观察，ARP-Dos网络攻击告警没再出现，问题解决。

4、为避免 AR- DoS 攻击及未知影响，MOC工程师进一步建议：

1）使用防火墙或其他网络设备过滤恶意ARP 请求和响应，以阻止攻击流量进入网络。

2）定期监控网络流量，以及 ARP 请求和响应的频率和模式。异常的 ARP 流量可能是攻击的迹象。

3）部署 IDS 和 IPS 来检测并阻止 ARP DoS 攻击，可以根据预定义的规则检测恶意的 ARP 流量并采取相应的措施。

4）合理配置网络设备，例如交换机和路由器，以限制 ARP 流量的影响范围，并防止 ARP 缓存过载。   

5）使用 VLAN 和网络隔离技术将网络划分为多个逻辑区域，以限制攻击的传播范围。

6）定期更新和维护网络设备、检测ARP 欺骗和网络安全培训等，避免ARP-DoS 攻击。

案例总结

网络设备启用NFPP和Trap告警相结合，实现对网络安全事件的快速反应，值守工程师第一时间接收工单，并初步判断问题，沟通现场工程师，协助解决问题，形成工单闭环，避免事件升级。

知识拓展

通过本次事件，不难发现NFPP的主要功能和优势。

1、防止DDoS攻击

NFPP通过限制特定类型的流量和连接请求来防止分布式拒绝服务（DDoS）攻击。缓解攻击带来的网络拥塞和服务中断问题 。

2、流量管理和控制

NFPP允许管理员定义和实施流量管理策略，控制不同类型流量的带宽使用情况。这有助于确保关键业务应用获得足够的带宽，提升网络整体性能和服务质量 。

3、保护网络设备

NFPP可以对网络设备（如路由器、交换机）的管理接口进行保护，防止未经授权的访问和操作。通过限制访问控制列表（ACL）和启用身份验证机制，提升设备安全性。

4、防范网络扫描和探测

通过检测和阻止网络扫描行为（如端口扫描、主机探测），可以有效防止攻击者收集网络拓扑和服务信息，降低网络暴露面 。

5、增强日志记录和监控

NFPP策略通常包括增强的日志记录和监控功能，帮助网络管理员及时发现和响应异常活动。通过实时监控和分析日志，可以更早地检测到潜在威胁并采取措施 。

声明：原创内容，转载请注明。