网络安全威胁分析

网络安全威胁分析

拒绝服务

路由器转发处理能力强，但是控制面和管理面处理能力有限。攻击者通过向路由器发起海量的消息请求，导致路由器CPU无法实时处理消息，引发正常的业务交互流程、内部处理流程阻塞，达到拒绝服务的目的。

拒绝服务是路由器面临的最大的威胁，在安全加固配置时，要求重点考虑拒绝服务类攻击的防御。

信息泄漏

路由器面临的信息泄漏威胁，最重要的风险就是非授权的访问，可以分成如下几种情况：

利用系统配置疏忽：路由器为了某些特定场合的便利性，提供了免认证登录的模式，在现网部署时由于疏忽没有关闭此模式，导致恶意用户非授权访问。

利用管理流程疏忽：路由器为了开局方便，通常使用一套配置文件作为模板开局，由于管理员疏忽，没有修改管理员账号密码，引发非授权访问。

利用IP网络开放性的缺陷：恶意用户通过在网络上部署嗅探器、侦听设备，把传输的IP报文截获并进行解析，达到信息泄漏目的。

存储介质泄密：路由器单板、存储介质，从一个地方转移到另一个地方时，由于缺乏存储介质加密机制，造成泄密。

破坏信息完整性

IP网络的开放性，导致报文在传输过程中，可能会被中间转发节点进行恶意篡改，导致信息传输失真或者被中间人有意识的修改消息内容，达到攻击的目的。

非授权访问

通过非授权访问，获得路由器控制权限，或者获取更高权限的信息。

利用网络配置漏洞：由于没有合理的配置防火墙访问控制策略，导致恶意用户从公网进行暴力破解等方式，强行进入系统。

非法利用系统提供的调试手段：路由器为了进行故障定位，提供了一些获取路由器内部信息处理流程中的信息查看方法。恶意用户通过利用这些诊断调试接口，越权获取信息。

由于路由器本身的命令行控制机制是基于用户角色而非账号的管理控制，导致某些用户操作远超其个人身份所需的命令行，读取通信数据，或者窃取系统配置信息。

身份欺骗

由于IP网络开放性，对MAC和IP地址缺乏有力的认证鉴权机制，极易产生基于ARP/IP的地址欺骗攻击，导致路由器需要不断刷新转发流程必须的地址表项，处理来自欺骗地址的请求，由于地址表项错误导致转发中断，由于表项学习能力不足引发拒绝服务。

重放攻击

IP网络的开放性导致通信终端在L3及以下层面无法对端进行认证。黑客利用这一特性，通过重复发送特定报文，引发拒绝服务攻击。

计算机病毒

路由器在网络系统中除了作为转发节点同时也是一个可以被管理的网络单元。当同一个网络区域的计算机感染病毒，发送大量垃圾流量，耗尽网络带宽。此时，路由器作为一个网元节点，将无法获得网络资源，导致业务不可用。

人员不慎

在网络建设阶段为了便利业务开通部署而设置的策略，在业务开通之后并没有及时清除，导致遗留的配置成为后门，被攻击者利用。

在网络整改过程中，由于操作人员的不慎或者技能不足，导致配置出错，引发事故。例如：网线插错导致环路，协议配错引发业务中断，访问控制策略配置错误引发异常阻断或者开启了不该开启的访问通道等等。

管理员不慎将账户口令共享给他人。

物理入侵

路由器无法防止机房管理员物理接入设备，直接物理连接容易获取高优先级权限。恶意攻击者通过避开门禁、监控等防护措施，接入路由器。