SQL病毒CISCO完全解決方案

2019-11-04 21:28:43

字體：大中小

供稿：網(wǎng)友

　　訪問(wèn)列表防御
　　1.創(chuàng)建訪問(wèn)列表
　　 access-list 101 deny udp any any eq 1434
　　
　　access-list 101 permit ip any any
　　
　　
　　2.匹配訪問(wèn)列表和數(shù)據(jù)包長(zhǎng)度
　　class-map match-all slammer_worm
　　
　　match access-group 101
　　
　　match packet length min 404 max 404
　　
　　
　　3.丟棄所匹配的數(shù)據(jù)包
　　
　　policy-map drop-slammer-worm
　　
　　class slammer_worm
　　
　　police 1000000 31250 31250 conform-action drop exceed-action drop violate-action drop
　　
　　NBAR
　　1. Create custom PRotocol
　　
　　ip nbar port-map custom-01 udp 1434
　　
　　
　　2. Create class-map
　　
　　class-map match-all slammer_worm
　　
　　match protocol custom-01
　　
　　match packet length min 404 max 404
　　
　　
　　3. Use class-based policing to drop the matching packets at the ingress interface
　　
　　policy-map drop-slammer-worm
　　
　　class slammer_worm
　　
　　police 1000000 31250 31250 conform-action drop exceed-action drop violate-action drop
　　
　　NetFlow
　　
　　Router# config t
　　
　　Router# (config) interface serial 0/1
　　
　　Router#(config-if) ip route-cache flow
　　
　　Router#(config-if) exit
　　
　　Router#(config) exit
　　
　　Router#
　　
　　
　　
　　輸出統(tǒng)計(jì)表
　　
　　Router# (config) ip flow-eXPort 192.168.155.1 700
　　
　　To view NetFlow statistics for port 1434:
　　
　　Router# show ip cache flow include 059A
　　
　　CAR
　　Router# (config) access-list 150 deny udp any any eq 1434
　　
　　Router# (config) access-list 150 permit ip any any
　　
　　Router# (config) interface fastEthernet 0/0
　　
　　Router# (config-if) rate-limit input access-group rate-limit 150 8000 1500 20000 conform-action drop exceed-action drop
　　
　　Router# (config-if) exit
　　
　　Router# (config) exit
　　
　　Router#
　　
　　ACL補(bǔ)充
　　access-list 115 deny udp any any eq 1434
　　access-list 115 permit ip any any
　　
　　int
　　ip access-group 115 in
　　ip access-group 115 out
　　
　　注重，假如你想追蹤來(lái)源，最好使用netflow，而不要使用log。
　　
　　病毒發(fā)送大量隨機(jī)地址，假如路由器接口使用了“ICMP unreachable”命令的話，對(duì)這些大量的無(wú)效地址響應(yīng)將導(dǎo)致路由器性能下降。因此，推薦使用以下命令：
　　
　　Router(config)# interface
　　Router(if-config)# no ip unreachables
　　ICMP unreachable 的補(bǔ)充
　　假如某些情況，如IP 隧道（tunnel）必須使用ICMP unreachable 命令，則推薦使用
　　Router(config)# ip icmp rate-limit unreachable
　　
　　6500 上防御
　　
　　set security acl ip WORM deny udp any eq 1434 any
　　set security acl ip WORM deny udp any any eq 1434
　　set security acl ip WORM permit any
　　commit security acl WORM
　　set security acl map WORM
　　
　　
　　查看
　　show security acl info all
　　
　　CatOS SUPII 和 MLS
　　CatOS SUPII 和 MLS
　　
　　源碼:
　　 switch> (enable) sh mls statistics entry ip
　　 Last Used
　　Destination IP Source IP Prot DstPrt SrcPrt Stat-Pkts Stat-Bytes
　　
　　 10.81.176.91 172.16.34.35 UDP 1434 2776 0 0 172.31.171.82 172.16.34.35 UDP 1434 2776 0 0 168.192.57.204 172.16.188.61 UDP 1434 3460 1 404
　　 172.17.136.55 172.16.34.135 UDP 1434 2917 0 0
　　從上面的顯示我們可以發(fā)現(xiàn)，
MLS可以幫助我們找到內(nèi)部受感染主機(jī)
　　PIX
　　access-list acl_out permit udp any host eq 1434
　　或者
　　conduit permit udp any any eq 1434

上一篇：網(wǎng)絡(luò)邊緣智能化——Cisco新型以太網(wǎng)解決方案

下一篇：城域網(wǎng)成為分散辦公首選解決方案