网管经验:如何抓住伪IP地址
防火墙的性能监控忽然出现问题,每天在2 000~5 000之间变动的连接数,今天持续在36 000个左右变动。由于情况异常,我立刻打开防火墙“实时监控”中的“连接信息”,发现有一个端口出现大量异常数据包。
某日,防火墙的性能监控忽然出现问题,每天在2 000~5 000之间变动的连接数,今天持续在36 000个左右变动。由于情况异常,我立刻打开防火墙“实时监控”中的“连接信息”,发现有一个端口出现大量异常数据包,其特点为:所有目的IP地址是同一个(202.101.180.36),但源IP地址在不停地变化,IP地址变化有明显的规律性,并且不是我们单位的内部地址。
根据经验可以看出,源IP地址是由一个程序自动产生的,现在需要查出是哪台连网的计算机用伪造的IP地址疯狂对外发送数据包。
在交换机上查找
由于我们单位的IP地址与MAC地址绑定、MAC地址与端口绑定,因此发送数据的计算机一定是属于合法的用户,一种情况是用户在使用黑客工具攻击其他人,为隐藏自己真实的IP地址而不断变换IP地址。另一种情况是用户的计算机被病毒感染,病毒自动对外发送大量数据包,并自动变化源IP地址。当务之急是迅速查出发出大量数据包的计算机真实IP地址。
考虑到防火墙的位置和功能,与防火墙技术人员沟通后,认为在防火墙上无法找到此机器的真实IP地址,因此在三层交换机Cisco 6509上查找。我查阅了一下资料,在Cisco 6509进行以下配置:
其中 202.101.180.36 是上面提到的目的地址,log-input的意思是“Log matches against this entry, including input interface”,即对匹配此列表的数据,包括输出的端口做日志。
然后输入“sh log”命令,其结果如下。
关闭惹事计算机端口
从上面的输出结果可以清楚地观察到,产生虚假IP地址计算机的VLAN和MAC地址,通过我们自己的网管软件立即查找到此MAC地址的真实IP地址、用户姓名、部门、端口号等信息。登录用户计算机所在的二层交换机,关掉此计算机使用的端口,防火墙上监控的连接数即刻恢复到正常状态。
与该用户联系后,确定是用户计算机感染了木马病毒。
文章来源:51CTO
http://network.51cto.com/art/200905/125824.htm
- 1企业手机日程管理软件运维管理基础如何打造
- 2CIO如何避免IT与业务脱节成两张皮?
- 3选择网路运维工具正确方法介绍
- 4简化大型手机日程管理软件运维管理系统方法总结
- 5企业运维管理系统内部控制重要性分析
- 6电信运维精细化管理助电信行业快速发展
- 7CIO制定IT规划常犯错误总结
- 8自动化ITIL运维管理流程重要性分析
- 96大ITIL运维流程管理模式分析
- 10求手机和电脑的个人日程日历管理软件?
- 11主要手机日程管理软件运维管理软件功能概览
- 12手机日程管理软件管理维护技巧:不同网段之间轻松切换IP地址
- 13自动化数据中心运维管理建立方法
- 14网管软件:本土化PK空降兵
- 15手机日程管理软件运维人员安全法则总结
- 16求一款日程管理软件和一款日记软件!
- 17数据库运维管理相关应用技巧总结
- 18数据集中模式运维管理建设指导
- 19网管运维组策略应用技巧分享
- 20解读手机日程管理软件管理与网管软件
- 21中国企业IT基础架构面临三大改变
- 22泛普BTNM V3.9.1功能特点介绍
- 23有谁知道好用的手机日程管理软件(andriod版)
- 24政府行业手机日程管理软件运维管理市场具体发展趋势
- 25安卓日程管理软件VH 2.21
- 26降低手机日程管理软件运维管理成本技巧解析
- 27企业外网安全运维管理具体实施方法介绍
- 28xPON手机日程管理软件运维管理应用技巧分享
- 29企业应建造金字塔般稳固的云oa系统管理体系
- 30数据中心运维管理方法介绍