基于MNSS的医院恶意DHCP攻击防范方案研究及仿真

陈献鹏 徐亚飞 赵强 吴响

摘要：DHCP服务是医院网络系统搭建过程中最为常见的方式，该方式能大大简化网络管理人员对于主机、服务器及其他应用端的IP地址配置工作。然而DHCP服务在安全方面有较多的不足之处，比如攻击DHCP地址池使地址池耗尽、架设假冒服务器以获取数据等。针对这一问题，该文通过对DHCP的工作原理进行深入研究，提出医院恶意DHCP攻击防范方案以提高医院网络的安全性。为验证其有效性，使用MNSS（Medical Network System simulator）仿真软件搭建虚拟环境，仿真实验过程。

关键词：MNSS；DHCP；虚拟仿真；网络安全

中图分类号：TN711 文献标识码：A 文章编号：1009-3044（2018）30-0013-03

Abstract： DHCP service is the most common way of building a hospital network system， which can greatly simplify the IP address configuration work for the network manager for the host， server and other applications. However， DHCP services have many shortcomings in security， such as attacking DHCP address pool， making the address pool exhausted， and setting up fake servers to get data. In order to solve this problem， this paper makes an in-depth study on the working principle of DHCP， and puts forward the prevention scheme of malicious DHCP attack in hospital to improve the security of the hospital network. In order to verify its effectiveness， MNSS （Medical Network System simulator） simulation software is used to build the virtual environment and simulate the experimental process.

Key words：MNSS； DHCP； virtual simulation； network security

1 引言

在信息化浪潮的推動下，医院正朝着“智能”“信息”“互联”等方向建设与发展。然而随着医院网络规模的不断扩大，联网设备的增加与删减给信息化管理带来不小的压力，尤其是医院IP地址规划和管理。传统的手工配置模式显然难以满足需求，而DHCP（Dynamic Host Configuration Protocol，动态主机配置协议）技术采用动态分配IP的方式，很大程度上解决了设备IP地址配置管理问题。

然而，DHCP协议在安全方面具有一定的缺陷。由于DHCP没有提供有效的安全认证，其较低的安全性将会给网络系统带来一些威胁，常见的有：（1）DHCP服务器遭受到DOS攻击，地址池耗尽；（2）非法DHCP服务器提供错误地址。医院网络如果遭受恶意DHCP攻击，可能会发生IP地址冲突、地址缺少而无法联网的情况，给医院造成巨大的经济损失与不良的社会影响，甚至可能由于非法DHCP服务器提供错误地址，从而导致医院内部大量患者隐私信息的泄露。因此，我们使用MNSS仿真软件对DHCP进行深度研究，通过模拟攻击实验找到相应的解决方案，在一定程度上提高医院网络的安全性，减少不必要的人力、物力损失。

2 相关技术研究

2.1 DHCP工作原理

DHCP协议主要用于为网络中的PC机动态分配IP、 Gateway及DNS等地址，其运行过程一般分为四个步骤，以四种数据包的传送为代表。首先是客户端广播Discover消息，用于寻找DHCP服务器；其次，收到Discover消息的DHCP服务器会回应Offer消息，Offer消息里包含了可以提供给客户端的IP地址；再次，客户端会发送Request消息，正式申请IP地址；最后，DHCP服务器在收到请求消息后会发送ACK消息，把自身地址池内的IP地址分配给客户端，DHCP的IP地址分配工作完成。其中，需要注意的是：（1）服务器在发送Offer消息前会在网络中发送ARP消息对即将分配出去的IP地址进行检测，以确保该IP地址没有被其他设备所占用，在一定程度上避免地址冲突。（2）客户端发送Request消息是以广播形式发送的，因为一个网络中可能存在多个DHCP服务器，客户端发送的消息里包含了自身所希望得到的IP地址，也就间接拒绝了其他的DHCP服务器。

2.2 DHCP攻击方式

（1）DHCP地址耗尽攻击：当DHCP服务器收到来自主机的请求消息后，由于其一般没有区分主机“真假”的认证方法，因此遇到来自虚假主机的消息也会按照自身的工作模式正常进行分配工作。如果有不法分子通过仪器或者软件不断地向DHCP发送包含伪造的MAC地址的请求消息，服务器就会将地址池内的IP地址迅速分配完，而这时候正常主机在尝试申请IP地址时就会被DHCP服务器拒绝。

（2）DHCP服务器攻击：攻击方可能架设一台伪造DHCP服务器，给正常主机提供伪造的IP地址。就像服务器难以区别主机一样，客户端也无法区分服务器。非法服务器优先应答客户端，主机就会接收到错误的IP地址。更有甚者，通过设置错误的默认网关，将主机传送的数据传向攻击方的设备再转发出去，攻击方就可以在其设备上截取到所有数据，这就牵扯到隐私信息的泄露问题。

2.3 DHCP攻击防范措施

（1）DHCP Snooping：DHCP Snooping是DHCP的安全特性，用于保证DHCP客户端能够从合法的DHCP服务器处获取IP地址，从而避免非法服务器的干扰。DHCP Snooping会将接口分为信任端口及非信任端口两种，允许信任端口正常接收并转发DHCP报文，而限制非信任端口。同时记录非信任区域客户端MAC地址、IP地址、连接服务器的端口号等信息，进一步加强对网络的监管。

（2）Port Security：Port Security特性通过设置交换机端口承认的MAC地址数量来达到控制服务请求端口的目的。假如交换机被设置为只承认一个MAC地址，一旦有其他设备想通过同一端口进行通信，就会被端口安全特性阻止。当端口接收的MAC地址超过最大值时可以设置应答：（1）Protect：丢弃违规数据，允许正常端口通信；（2）Restrict：警告网络管理员；（3）Shutdown：关闭端口。

3 基于MNSS的医院恶意DHCP攻击防范方案仿真设计

3.1 实验拓扑图

在MNSS工作区中搭建医院某一科室的网络架构图，如图1所示。SW1为三层交换机，提供DHCP服务，SW2和SW3为两台二层接入层交换机，下接4台PC机模拟医院内网客户端，PC1和PC2處于vlan 10，PC3和PC4处于vlan 20。其中PC2模拟侵入医院网络的攻击者。

3.2 仿真设备交换网络的建立

3.3 关键配置步骤

1） 地址池配置

SW1（config）#service dhcp

SW1（config）#ip dhcp pool V10 ！创建名为V10的地址池

SW1（dhcp -config）#network 192.168.1.0 255.255.255.0

SW1（dhcp -config）#default-router 192.168.1.1 ！默认网关

SW1（dhcp -config）#dns-server 192.168.1.254 ！ DNS服务器地址

SW1（dhcp -config）#lease 2 ！ 设置租期

SW1（config）#service dhcp

SW1（config）#ip dhcp pool V20 ！创建名为V20的地址池

SW1（dhcp -config）#network 192.168.2.0 255.255.255.0

SW1（dhcp -config）#default-router 192.168.2.1 ！默认网关

SW1（dhcp -config）#dns-server 192.168.2.254 ！ DNS服务器地址

SW1（dhcp -config）#lease 2 ！ 设置租期

SW1（config）#ip dhcp excludeed-address 192.168.1.100 192.168.1.255 ！设置不用于分配的IP地址

2） 在PC上开启IP地址请求

PC1（config）#int f0/0

PC1（config-if）#ip address dhcp ！ 获取IP地址

3） 用PC2桥接一台装有Ubuntu系统的虚拟机，进行模拟攻击

本文使用yersinia软件进行恶意DHCP模拟攻击，通过不断修改MAC地址，向DHCP服务器不断发送Discover报文，以此消耗DHCP服务器地址池内的IP地址。在虚拟机上打开yersinia，进行模拟攻击，如下图所示：

一段时间以后，在SW1上使用命令“show ip dhcp server statistics”查看DHCP服务器的统计信息，如图3所示。此时，服务器收到大量的请求报文，地址池也很快耗尽，当PC1再次请求IP地址，已经无法成功获取。

4） 架设非法服务器

FFDHCP（config）#service dhcp

FFDHCP（config）#ip dhcp pool ff ！创建名为ff的地址池

FFDHCP（dhcp-config）#network 192.168.1.0 255.255.255.0

FFDHCP（dhcp-config）#default-router 192.168.1.10 ！默认网关

FFDHCP（dhcp-config）#dns-server 192.168.1.254 ！ DNS服务器地址

FFDHCP（dhcp -config）#lease 2 ！ 设置租期

SW1（config）#ip dhcp excludeed-address 192.168.1.1 192.168.1.99 ！设置不用于分配的IP地址

5） PC1重新获取IP地址，极大可能获得非法服务器地址池内的地址

一旦PC1获取到非法服务器提供的地址，非法分子就可以通过修改默认网关的方式，将PC1的数据流量转发至非法主机，从而导致医院隐私数据的泄露。

3.4 恶意DHCP攻击防范方案

1） 启用DHCP Snooping

SW2（config）#ip dhcp snooping vlan 10 ！ 在vlan10内开启DHCP侦听

SW2（config）#int f0/0

SW2（config-if）#ip dhcp snooping trust ！将端口f1/0设置为信任端口

此时，发现PC1将无法再获取到IP地址，因为正常DHCP服务器地址池被耗尽，而非法服务器又被“隔绝”在外。

2） 设置Port Security

SW2（config）#int range f1/0，f2/0， f3/0

SW2 （config-if-range）#switchport port-security maximum 2 ！ 将端口承认的最大MAC地址数目设置为2

SW2 （config-if-range）#switchport port-security violation shutdown ！ 当端口上接收到的MAC地址数目超过最大值时直接关闭端口

完成上述配置后，再进行同样的实验，模拟DOS攻击，发现地址池正常，可以为PC提供IP地址。

4 结语

网络技术的飞速发展在给医院管理提供诸多便利的同时，也为医院信息安全埋下了诸多隐患。本文使用MNSS网络虚拟软件模拟DHCP攻击，通过在交换机上开启侦听功能，有效阻止外部不法分子对于医院网络的攻击，切实保障医院数据的安全。

参考文献：

[1] 雷明彬.DHCP欺骗的防范原理及实现[J].商场现代化，2007，（521）：180-181.

[2] 高顾君.DHCP耗尽攻击及防范[J].科技信息，2011（09）：60.

[3] 马秀芳，李红岩.防止DHCP攻击方法研究[J].硅谷，2010（22）：13-14.

[4] 孙雪梅.医院内局域网IP地址管理模式分析[J].现代仪器，2011（06）：27-28.

【通联编辑：代影】