admin 网络安全威胁包括网络内部的威胁、网络滥用、没有安全意识的职员、黑客、黑客等。
木马攻击原理：C/S 架构，服务器端被植入目标主机，服务器端通过反弹连接和客户端连接。从而客户端对其进行控制。
病毒：一些恶意的计算机程序，具有传播性，破坏性，隐蔽性的特点。
网络攻击类型主要分为三类：
侦查攻击：搜集网络存在的弱点，以进一步攻击网络。分为扫描攻击和网络监听：扫描攻击有端口扫描，主机扫描，漏洞扫描。
网络监听：主要指只通过软件将使用者计算机网卡的模式置为混杂模式，从而查看通过此网络的重要明文信息。
端口扫描：根据 TCP 协议规范，当一台计算机收到一个TCP 连接建立请求报文（TCP SYN） 的时候，做这样的处理：
1、如果请求的TCP端口是开放的，则回应一个TCP ACK 报文， 并建立TCP连接控制结构（TCB）；
2、如果请求的TCP端口没有开放，则回应一个TCP RST（TCP头部中的RST标志设为1）报文，告诉发起计算机，该端口没有开放。
相应地，如果IP 协议栈收到一个UDP 报文，做如下处理：
1、如果该报文的目标端口开放，则把该UDP 报文送上层协议（UDP ） 处理， 不回应任何报文（上层协议根据处理结果而回应的报文例外）；
2、如果该报文的目标端口没有开放，则向发起者回应一个ICMP 不可达报文，告诉发起者计算机该UDP报文的端口不可达。
利用这个原理， 攻击者计算机便可以通过发送合适的报文，判断目标计算机哪些TCP 或 UDP端口是开放的，过程如下：
1、 发出端口号从0 开始依次递增的TCP SYN 或 UDP 报文（端口号是一 个 16 比特的数字，这样最大为65535，数量很有限） ；
2、 如果收到了针对这个TCP 报文的RST 报文，或针对这个UDP 报文 的 ICMP 不可达报文，则说明这个端口没有开放；
3、 相反，如果收到了针对这个TCP SYN 报文的ACK报文，或者没有接收到任何针对该UDP报文的 ICMP 报文，则说明该 TCP端口是开放的，UDP端口可能开放（因为有的实现中可能不回应ICMP不可达报文，即使该UDP 端口没有开放） 。
这样继续下去，便可以很容易的判断出目标计算机开放了哪些TCP或 UDP 端口， 然后针对端口的具体数字，进行下一步攻击，这就是所谓的端口扫描攻击。主机扫描即利用ICMP原理搜索网络上存活的主机。
1）网络踩点（Footprinting）
攻击者事先汇集目标的信息，通常采用whois 、Finger 等工具和DNS 、LDAP等协议获取目标的一些信息，如域名、IP地址、网络拓扑结构、相关的用户信息等，这往往是黑客入侵之前所做的第一步工作。
2）扫描攻击
扫描攻击包括地址扫描和端口扫描等，通常采用PING 命令和各种端口扫描工具，可以获得目标计算机的一些有用信息，例如机器上打开了哪些端口，这样就知道开设了哪些服务，从
而为进一步的入侵打下基础。
3）协议指纹
黑客对目标主机发出探测包，由于不同操作系统厂商的IP 协议栈实现之间存在许多细微的 差别（也就是说各个厂家在编写自己的TCP/IP 协议栈时，通常对特定的RFC 指南做出不同的解释），因此各个操作系统都有其独特的响应方法，黑客经常能确定出目标主机所运行的操作系统。常常被利用的一些协议栈指纹包括：TTL 值、 TCP 窗口大小、 DF 标志、 TOS 、IP 碎片处理、 ICMP 处理、 TCP 选项处理等。
4）信息流监视
这是一个在共享型局域网环境中最常采用的方法。由于在共享介质的网络上数据包会经过每个网络节点， 网卡在一般情况下只会接受发往本机地址或本机所在广播（或多播） 地址的数 据包，但如果将网卡设置为混杂模式（Promiscuous），网卡就会接受所有经过的数据包。基于这样的原理，黑客使用一个叫sniffer的嗅探器装置，可以是软件，也可以是硬件）就可以对网络的信息流进行监视，从而获得他们感兴趣的内容，例如口令以及其他秘密的信息。
访问攻击 ：密码攻击：密码暴力猜测，特洛伊木马程序，数据包嗅探等方式。中间人攻击：截获数据，窃听数据内容，引入新的信息到会话，会话劫持（session hijacking ）利用TCP 协议本身的不足， 在合法的通信连接建立后攻击者可以通过阻塞或摧毁通信的一方来接管已 经过认证建立起来的连接，从而假冒被接管方与对方通信。
拒绝服务攻击：伪装大量合理的服务请求来占用过多的服务资源，从而使合法用户无法得到 服务响应。要避免系统遭受DoS 攻击，从前两点来看，网络管理员要积极谨慎地维护整个 系统，确保无安全隐患和漏洞；而针对第四点第五点的恶意攻击方式则需要安装防火墙等安 全设备过滤DoS 攻击，同时强烈建议网络管理员定期查看安全设备的日志，及时发现对系 统存在安全威胁的行为。
常见拒绝服务攻击行为特征与防御方法
拒绝服务攻击是最常见的一类网络攻击类型。在这一攻击原理下，它又派生了许多种不同的攻击方式。正确了解这些不同的拒绝攻击方式，就可以为正确、系统地为自己所在企业 部署完善的安全防护系统。
入侵检测的最基本手段是采用模式匹配的方法来发现入侵攻击行为。要有效的进行反攻击，首先必须了解入侵的原理和工作机理， 只有这样才能做到知己知彼，从而有效的防止入侵攻击行为的发生。下面我们针对几种典型的拒绝服务攻击原理进行简要分析，并提出相应的对策。
死亡之Ping（ Ping of death）攻击
由于在早期的阶段，路由器对包的最大大小是有限制的，许多操作系统TCP/IP 栈规定ICMP包的大小限制在64KB 以内。 在对 ICMP数据包的标题头进行读取之后，是根据该标题头里包含的信息来为有效载荷生成缓冲区。当大小超过64KB 的 ICMP 包，就会出现内存分配错误，导致TCP/IP 堆栈崩溃，从而使接受方计算机宕机。这就是这种“死亡之Ping”攻击的 原理所在。 根据这一攻击原理，黑客们只需不断地通过Ping 命令向攻击目标发送超过64KB 的数据包，就可使目标计算机的TCP/IP 堆栈崩溃，致使接受方宕机。 防御方法：现在所有的标准TCP/IP 协议都已具有对付超过64KB 大小数据包的处理能力， 并且大多数防火墙能够通过对数据包中的信息和时间间隔分析，自动过滤这些攻击。
Windows 98 、 Windows NT 4.0 （ SP3 之后）、Windows 2000/XP/Server 2003 、Linux 、Solaris和 Mac OS 等系统都已具有抵抗一般“Ping of death ”拒绝服务攻击的能力。此外，对防火墙进行配置，阻断ICMP 以及任何未知协议数据包，都可以防止此类攻击发生。
泪滴（ teardrop）攻击
对于一些大的IP 数据包，往往需要对其进行拆分传送，这是为了迎合链路层的MTU（最大传输单元）的要求。比如，一个6000 字节的IP 包，在MTU为 2000的链路上传输的时 候，就需要分成三个IP 包。在IP 报头中有一个偏移字段和一个拆分标志（MF）。如果MF标志设置为1，则表面这个IP 包是一个大IP 包的片断，其中偏移字段指出了这个片断在整个 IP包中的位置。例如，对一个6000 字节的IP包进行拆分（MTU为 2000），则三个片断中偏移字段的值依次为：0，2000 ，4000。这样接收端在全部接收完IP 数据包后，就可以根 据这些信息重新组装没正确的值， 这样接收端在收后这些分拆的数据包后就不能按数据包 中的偏移字段值正确重合这些拆分的数据包，但接收端会不断偿试， 这样就可能致使目标计算朵操作系统因资源耗尽而崩溃。泪滴攻击利用修改在TCP/IP 堆栈实现中信任IP 碎片中的 包的标题头所包含的信息来实现自己的攻击。 IP分段含有指示该分段所包含的是原包的哪 一段的信息，某些操作系统（如SP4 以前的 Windows NT 4.0 ）的 TCP/IP 在收到含有重叠偏 移的伪造分段时将崩溃，不过新的操作系统已基本上能自己抵御这种攻击了。 防御方法： 尽可能采用最新的操作系统，或者在防火墙上设置分段重组功能，由防火墙先接 收到同一原包中的所有拆分数据包，然后完成重组工作，而不是直接转发。因为防火墙上可 以设置当出现重叠字段时所采取的规则。
TCP SYN 洪水（TCP SYN Flood）攻击
TCP/IP 栈只能等待有限数量ACK （应答）消息，因为每台计算机用于创建TCP/IP 连 接的内存缓冲区都是非常有限的。如果这一缓冲区充满了等待响应的初始信息，则该计算机就会对接下来的连接停止响应，直到缓冲区里的连接超时。
TCP SYN 洪水攻击正是利用了这一系统漏洞来实施攻击的。攻击者利用伪造的IP地址向目标发出多个连接（SYN）请求。目标系统在接收到请求后发送确认信息，并等待回答。 由于黑客们发送请示的IP 地址是伪造的，所以确认信息也不会到达任何计算机，当然也就 不会有任何计算机为此确认信息作出应答了。而在没有接收到应答之前，目标计算机系统是不会主动放弃的，继续会在缓冲区中保持相应连接信息，一直等待。当达到一定数量的等待 连接后， 缓区部内存资源耗尽，从而开始拒绝接收任何其他连接请求，当然也包括本来属于正常应用的请求，这就是黑客们的最终目的。
防御方法： 在防火墙上过滤来自同一主机的后续连接。不过“SYN洪水攻击”还是非常令人担忧的， 由于此类攻击并不寻求响应，所以无法从一个简单高容量的传输中鉴别出来。防火墙的具体抵御TCP SYN 洪水攻击的方法将在防火墙的使用手册中有详细介绍。
Land 攻击
这类攻击中的数据包源地址和目标地址是相同的，当操作系统接收到这类数据包时，不知道该如何处理，或者循环发送和接收该数据包，以此来消耗大量的系统资源，从而有可能造成系统崩溃或死机等现象。
防御方法：这类攻击的检测方法相对来说比较容易，因为它可以直接从判断网络数据包的源地址和目标地址是否相同得出是否属于攻击行为。反攻击的方法当然是适当地配置防火墙设 备或包过滤路由器的包过滤规则。并对这种攻击进行审计，记录事件发生的时间，源主机和 目标主机的MAC地址和IP地址，从而可以有效地分析并跟踪攻击者的来源。
Smurf 攻击
这是一种由有趣的卡通人物而得名的拒绝服务攻击。Smurf 攻击利用多数路由器中具有同时向许多计算机广播请求的功能。攻击者伪造一个合法的IP 地址，然后由网络上所有的 路由器广播要求向受攻击计算机地址做出回答的请求。由于这些数据包表面上看是来自已知 地址的合法请求，因此网络中的所有系统向这个地址做出回答，最终结果可导致该网络的所 有主机都对此ICMP 应答请求作出答复， 导致网络阻塞， 这也就达到了黑客们追求的目的了。
这种 Smurf攻击比起前面介绍的“Ping of Death ”洪水的流量高出一至两个数量级，更容易攻击成功。还有些新型的Smurf 攻击，将源地址改为第三方的受害者（不再采用伪装的IP地址），最终导致第三方雪崩。
防御方法：关闭外部路由器或防火墙的广播地址特性，并在防火墙上设置规则，丢弃掉ICMP协议类型数据包。
Fraggle 攻击
Fraggle 攻击只是对Smurf 攻击作了简单的修改，使用的是 UDP协议应答消息，而不再是ICMP协议了（因为黑客们清楚 UDP 协议更加不易被用户全部禁止）。同时Fraggle 攻击使用了特定的端口（通常为7号端口，但也有许多使用其他端口实施 Fraggle 攻击的），攻击与Smurf 攻击基本类似，不再赘述。
防御方法： 关闭外部路由器或防火墙的广播地址特性。在防火墙上过滤掉UDP报文，或者屏蔽掉一些常被黑客们用来进Fraggle攻击的端口。
电子邮件炸弹
电子邮件炸弹是最古老的匿名攻击之一，通过设置一台计算机不断地向同一地址发送大 量电子邮件来达到攻击目的，此类攻击能够耗尽邮件接受者网络的带宽资源。
防御方法： 对邮件地址进行过滤规则配置，自动删除来自同一主机的过量或重复的消息。
虚拟终端（VTY）耗尽攻击
这是一种针对网络设备的攻击，比如路由器，交换机等。这些网络设备为了便于远程管理， 一般设置了一些TELNET 用户界面，即用户可以通过TELNET到该设备上，对这些设备进 行管理。
一般情况下， 这些设备的TELNET用户界面个数是有限制的，比如，5 个或 10 个等。 这样， 如果一个攻击者同时同一台网络设备建立了5 个或 10 个 TELNET连接， 这些设备的远程管 理界面便被占尽，这样合法用户如果再对这些设备进行远程管理，则会因为TELNET连接资源被占用而失败。
ICMP洪水
正常情况下，为了对网络进行诊断，一些诊断程序，比如PING等，会发出ICMP响应请求报文（ ICMP ECHO），接收计算机接收到ICMP ECHO 后，会回应一个ICMP ECHO Reply 报文。而这个过程是需要CPU 处理的，有的情况下还可能消耗掉大量的资源，比如处理分 片的时候。 这样如果攻击者向目标计算机发送大量的ICMP ECHO报文（产生ICMP洪水），则目标计算机会忙于处理这些ECHO 报文，而无法继续处理其它的网络数据报文，这也是一种拒绝服务攻击（DOS）。
WinNuke 攻击
NetBIOS 作为一种基本的网络资源访问接口，广泛的应用于文件共享，打印共享， 进程间通信（ IPC），以及不同操作系统之间的数据交换。一般情况下，NetBIOS 是运行在 LLC2 链路 协议之上的， 是一种基于组播的网络访问接口。为了在TCP/IP协议栈上实现NetBIOS ，RFC规定了一系列交互标准，以及几个常用的 TCP/UDP 端口：
139： NetBIOS 会话服务的TCP 端口；
137： NetBIOS 名字服务的UDP 端口；
136： NetBIOS 数据报服务的UDP 端口。
WINDOWS操作系统的早期版本（WIN95/98/NT ）的网络服务（文件共享等）都是建立在NetBIOS之上的，因此，这些操作系统都开放了139 端口（最新版本的WINDOWS 2000/XP/2003 等，为了兼容，也实现了NetBIOS over TCP/IP功能，开放了139 端口）。
WinNuke 攻击就是利用了WINDOWS操作系统的一个漏洞，向这个139 端口发送一些携带TCP 带外（ OOB ）数据报文，但这些攻击报文与正常携带OOB 数据报文不同的是，其指针字段与数据的实际位置不符，即存在重合，这样WINDOWS操作系统在处理这些数据的时候，就会崩溃。
分片 IP 报文攻击
为了传送一个大的IP 报文， IP 协议栈需要根据链路接口的MTU 对该 IP 报文进行分片，通过填充适当的IP 头中的分片指示字段，接收计算机可以很容易的把这些IP 分片报文组装起来。
目标计算机在处理这些分片报文的时候，会把先到的分片报文缓存起来，然后一直等待后续 的分片报文，这个过程会消耗掉一部分内存，以及一些IP 协议栈的数据结构。如果攻击者 给目标计算机只发送一片分片报文，而不发送所有的分片报文，这样攻击者计算机便会一直 等待（直到一个内部计时器到时），如果攻击者发送了大量的分片报文，就会消耗掉目标计 算机的资源，而导致不能相应正常的IP报文，这也是一种DOS 攻击。
Teardrop
分段攻击。利用了重装配错误，通过将各个分段重叠来使目标系统崩溃或挂起。
路由协议攻击
网络设备之间为了交换路由信息，常常运行一些动态的路由协议，这些路由协议可以完成诸 如路由表的建立，路由信息的分发等功能。常见的路由协议有RIP ，OSPF，IS-IS ，BGP 等。 这些路由协议在方便路由信息管理和传递的同时，也存在一些缺陷，如果攻击者利用了路由 协议的这些权限， 对网络进行攻击， 可能造成网络设备路由表紊乱（这足可以导致网络中断）， 网络设备资源大量消耗，甚至导致网络设备瘫痪。
下面列举一些常见路由协议的攻击方式及原理：
针对 RIP 协议的攻击
RIP，即路由信息协议，是通过周期性（一般情况下为30S）的路由更新报文来维护路由表 的，一台运行RIP 路由协议的路由器，如果从一个接口上接收到了一个路由更新报文，它 就会分析其中包含的路由信息，并与自己的路由表作出比较，如果该路由器认为这些路由信 息比自己所掌握的要有效，它便把这些路由信息引入自己的路由表中。 这样如果一个攻击者向一台运行RIP 协议的路由器发送了人为构造的带破坏性的路由更新报文，就很容易的把路由器的路由表搞紊乱，从而导致网络中断。
如果运行RIP 路由协议的路由器启用了路由更新信息的HMAC验证，则可从很大程度上避免这种攻击。
针对 OSPF 路由协议的攻击
OSPF，即开放最短路径优先，是一种应用广泛的链路状态路由协议。该路由协议基于链路状态算法，具有收敛速度快，平稳，杜绝环路等优点，十分适合大型的计算机网络使用。
OSPF路由协议通过建立邻接关系，来交换路由器的本地链路信息，然后形成一个整网的链 路状态数据库，针对该数据库，路由器就可以很容易的计算出路由表。
可以看出， 如果一个攻击者冒充一台合法路由器与网络中的一台路由器建立邻接关系，并向攻击路由器输入大量的链路状态广播（LSA ，组成链路状态数据库的数据单元），就会引导路由器形成错误的网络拓扑结构，从而导致整个网络的路由表紊乱，导致整个网络瘫痪。
当前版本的WINDOWS操作系统（ WIN 2K/XP等）都实现了OSPF 路由协议功能，因此一个攻击者可以很容易的利用这些操作系统自带的路由功能模块进行攻击。
跟 RIP 类似，如果OSPF启用了报文验证功能（HMAC验证），则可以从很大程度上避免这种攻击。
针对 IS-IS 路由协议的攻击
IS-IS 路由协议，即中间系统到中间系统，是ISO 提出来对ISO 的 CLNS 网络服务进行路由的一种协议， 这种协议也是基于链路状态的，原理与OSPF 类似。 IS-IS路由协议经过扩展， 可以运行在IP网络中，对IP报文进行选路。这种路由协议也是通过建立邻居关系，收集路由器本地链路状态的手段来完成链路状态数据库同步的。该协议的邻居关系建立比OSPF简单，而且也省略了OSPF特有的一些特性，使该协议简单明了，伸缩性更强。
对该协议的攻击与OSPF 类似， 通过一种模拟软件与运行该协议的路由器建立邻居关系，然后传颂给攻击路由器大量的链路状态数据单元（LSP），可以导致整个网络路由器的链路状 态数据库不一致 （因为整个网络中所有路由器的链路状态数据库都需要同步到相同的状态）， 从而导致路由表与实际情况不符，致使网络中断。
与 OSPF 类似，如果运行该路由协议的路由器启用了IS-IS 协议单元（ PDU ）HMAC验证功能，则可以从很大程度上避免这种攻击。
1.1 应用层攻击
能够使用多种不同的方法来实现，最平常的方法是应用服务器上通常可找到的应用软件（如 SQL Server、 Sendmail、PostScript 和FTP）缺陷。通过使用这些缺陷，攻击者能够获得计算机的访问权，以及该计算机上运行相应应用程序所需账户的许可权。
应用层攻击的一种最新形式是使用许多公开化的新技术，如HTML规范、 Web 浏览器的操作性和HTTP协议等。这些攻击通过网络传送有害的程序，包括 JAVA applet 和 Active X 控件等，并通过用户的浏览器调用它们，很容易达到入侵、攻击的目的。虽然微软公司前段 时间提供的代码验证技术可以使用户的ActiveX 控件因安全检查错误而暂停这类攻击，但攻击者已经发现怎样利用适当标记和有大量漏洞的ActiveX 控件使之作为特洛伊木马实施新的攻击方式。这一技术可使用VBScript脚本程序直接控制执行隐蔽任务，如覆盖文件， 执行其他文件等，预防、查杀的难度更大。
在应用层攻击中，容易遭受攻击的目标包括路由器、数据库、Web 和 FTP服务器和与协议相关的服务，如DNS 、WINS 和SMB 。
1.2 接入层攻击
1 MAC/CAM泛洪攻击
MAC/CAM泛洪攻击是指利用工具产生大量欺骗MAC ，快速填满CAM表，交换机CAM表被填满后，流量在所有端口广播，导致交换机就像共享HUB一样工作，这时攻击者可以利用各种嗅探攻击获取网络信息。同时CAM表满了后，流量以洪泛方式发送到所有接口， 也就代表TRUNK接口上的流量也会发给所有接口和邻接交换机，会造成交换机负载过大，网络缓慢和丢包甚至瘫痪。解决方案：可使用端口安全技术，允许特定的主机访问及定义最多允许通过主机的数量。
2 针对DHCP的攻击
采用DHCP协议可以自动为用户设置网络IP 地址、掩码、网关、DNS、WINS等参数，简化了用户网络设置，提高了管理效率。但在DHCP管理使用上也存在着一些令网管人员比较头疼的问题。
2.1 DHCP 报文泛洪攻击
DHCP报文泛洪攻击是指利用工具伪造大量DHCP请求报文发送到服务器，一方面恶意耗尽了IP资源，使得合法用户无法获得IP 资源；另一方面使得服务器高负荷运行，无法响 应合法用户的请求，造成网络故障。解决方案： DHCPsnooping ，比较二层以太网帧的源 MAC与DHCP请求报文中的client MAC是否一直，如果不一致，则丢弃。
2.2 DHCP Server欺骗攻击
由于DHCP协议在设计的时候没有考虑到客户端和服务器端之间的认证机制，如果网络上存在多台DHCP服务器将会给网络照成混乱。通常黑客攻击是首先将正常的DHCP服务器所能分配的IP 地址耗尽，然后冒充合法的DHCP 服务器。最为隐蔽和危险的方法是 黑客利用冒充的DHCP 服务器，为用户分配一个经过修改的DNS server，在用户毫无察觉的情况下被引导至预先配置好的假金融网站或电子商务网站， 骗取用户帐户和密码，这种攻击后果是非常严重的。解决方案： DHCPsnooping ，设置信任端口和非信任端口，非信任 端口拒绝DHCP offer 报文和DHCP ack 报文。还可以采用DHCP snooping 的报文限速功能， 如果报文速率超过限制值，则端口进入errdisable 状态。
3 针对 ARP攻击
ARP作为 IP 层和链路层之间的联系纽带，其作用和责任非常重大，最主要的使命就是确定IP地址对应的链路层地址（MAC地址）。但是由于特定的历史原因，ARP协议在设计的时候也没有考虑到安全因素，因此黑客可以很轻易的针对ARP协议的漏洞发起攻击， 轻松窃取到网络信息。
3.1 ARP流量攻击
ARP流量攻击的方式多种多样，比如伪造大量ARP请求， 伪造大量ARP应答，伪造目的IP不存在的IP报文等等，其最终目的只有一个：增加网络中ARP报文的流量，浪费交换机CPU带宽和资源，浪费内存资源，造成CPU繁忙，产生丢包现象，严重的甚至造成网络瘫痪。
解决方案： 防范ARP流量攻击通过两种手段：1，对端口ARP报文进行限速，当端口ARP报文速率超过设定值，则down掉端口； 2，对引起ARP解析失败的目的IP进行记录，当在固定时间内该IP引起 ARP解析失败的次数超过设定值的时候，下发ACL，通过硬件将目的IP为此IP的报文丢弃；
3.2 ARP 欺骗攻击
根据ARP协议的设计，为了减少网络上过多的ARP数据通信，一个主机即使收到非本机的ARP应答，也会对其进行学习，这样，就造成了“ARP 欺骗”的可能。如下图所示， 黑客分别向两台主机发送一个ARP应答包，让两台主机都“误”认为对方的MAC地址是第三方的黑客所在的主机，这样，双方看似“直接”的通信连接，实际上都是通过黑客所在的主机间接进行的。黑客一方面得到了想要的通信内容，另一方面，只需要更改数据包中的一些信息，成功地做好转发工作即可。同时黑客连续不断地向这两台主机发送这种虚假的ARP响应包，让这两台主机一直保存错误的ARP表项，使其可以一直探听这两台主机之间的通信。
解决方案： 对于ARP 欺骗攻击，利用接入层交换机上已经记录了Snooping 表项或（和）静态绑定了合法用户的信息进行报文合法性判断。当交换机端口上收到ARP报文，将报文中的IP和MAC地址提取出来，然后与上述表项进行对比，若IP、MAC以及收到报文的端口信息在表项中，则认为是合法报文，正常处理，否则认为是非法报文予以丢弃。
4 IP/MAC欺骗攻击
常见的欺骗种类有MAC欺骗、 IP 欺骗、 IP/MAC欺骗，黑客可以伪造源地址进行攻击，例如：以公网上的DNS 服务器为目标，希望通过使DNS服务器对伪造源地址的响应和等待，造成DOS攻击，并以此扩大攻击效果。此外IP/MAC欺骗的另一个目的为了伪造身 份或者获取针对IP/MAC的特权。
解决方案： 防止IP/MAC欺骗，处理类似上面讲到的防止ARP欺骗，也是利用Snooping 表项和静态绑定表项检测IP报文中IP、MAC和端口号的正确性，所不同的是IP地址检查特性配置在交换机的端口上，对该端口生效，不是通过软件丢弃报文，而是直接在端口下发ACL规则， 由硬件直接丢弃非法报文，极大降低了 伪IP报文对交换机处理效率的影响。
针对网络的攻击解决方案有：
边界安全（防火墙）：访问控制列表和防火墙类似于建筑物外墙上的门锁，只让经过授权的用户（拥有钥匙或者胸牌的用户）进出。边界安全可以控制对关键性应用、服务和数据的访问，使得只有合法的用户和信息才能从一个网络（信任域）进入另外一个网络。基本的实施是访问控制和防火墙（访问攻击，缓解DOS攻击，检测扫描攻击及作出相应措施）。
入侵防范（ IDS，IPS）：入侵检测系统的作用类似于现实生活中的监视摄像机。它们可以不间断地扫描网络流量（通过将流量拷贝一份到传感器），查找可疑的数据分组。利用一个跟踪特征数据库，它们可以记录任何不正常的情况，并采取相应的措施：发出警报， 重置攻击者的TCP连接，或者禁止攻击者的IP地址再次登录网络。网络IDS （NIDS ）检则器通常可以利用一个不可寻址的混和接口卡监听某个子网上的所有流量，并通过另外一个更加可靠 的接口发送任何警报和记录的流量。（检测攻击代码，如木马、病毒，扫描攻击）
安全连接（VPN）：利用互联网协议安全标准（IPS）的虚拟专用网（VPN ）可以提供信息的机密性、完整性和终端身份认证。（防止数据被非法用户窃取，防止中间人的攻击）
身份识别（802.1X,AAA ）： 只有通过认证的用户才能访问网络（非法用户不能接入，防止密 码攻击）。
准入控制（ NAC/EAD(H3C) ）：NAC 为完全符合安全策略的终端设备提供网络接入，且有助 于确保拒绝不符合策略的设备接入，将其放入隔离区以修复，或仅允许其有限地访问资源。（解决网络威胁）
行为管理： 限制网络用户对网络的滥用（解决网络威胁）
集成化产品安全： 在提供传统防火墙、VPN 功能基础上，同时提供病毒防护、URL 过滤、 漏洞攻击防护、垃圾邮件防护、P2P/IM 应用层流量控制和用户行为审计等安全功能。