终端安全风险-IP/MAC地址篡改风险解析

2023-11-23 理论教育版权反馈

【摘要】：如果对IP/MAC地址篡改信息不及时监控、上报和采取有效措施的话，会严重威胁到业务的持续有效的运行。2）因为事前没有对所有终端网卡的MAC地址和对应的IP地址进行登记，致使盗用IP地址不能及时发现、或者发现后不能及时采取有效措施的风险。3）IP/MAC绑定策略被停止或被删除的风险，而不能采取技术手段及时恢复IP地址的初始状态并通报管理员。下面对IP/MAC地址篡改风险进行详细的分解：相关风险点IP/MAC地址篡改风险点详见表B-7。

1.风险分析

（1）风险描述

一般的访问控制都是通过IP过滤功能来控制局域网内不同IP地址的上网权限来实现的。例如限定某个IP地址或某一段IP地址只能访问Web和收发邮件，规定一些地址可以访问权限更高的资源，如数据库、人事资料库等。但是IP地址的修改是非常容易的，局域网用户可以通过更改自己的IP地址（例如盗用权限更高人员的IP地址）以获得更多访问权限。如果对IP/MAC地址篡改信息不及时监控、上报和采取有效措施的话，会严重威胁到业务的持续有效的运行。

该类风险主要表现在：

1）私自篡改IP地址会造成IP地址冲突，导致网络中断，使正常工作的主机无法使用网络办公的风险。

2）因为事前没有对所有终端网卡的MAC地址和对应的IP地址进行登记，致使盗用IP地址不能及时发现、或者发现后不能及时采取有效措施的风险。

3）IP/MAC绑定策略被停止或被删除的风险，而不能采取技术手段及时恢复IP地址的初始状态并通报管理员。

4）IP/MAC绑定模块与某些业务冲突，造成业务连续性风险。

下面对IP/MAC地址篡改风险进行详细的分解：

（2）相关风险点

IP/MAC地址篡改风险点详见表B-7。

表 B-7

以下将分别从资产使用生命周期、相关信息安全、资产使用人员和合规性4个方面对以上9个风险点进行详细描述：

（a）基于资产使用生命周期分析

资产使用生命周期包含入网前、运行阶段、维修阶段、报废阶段，网络设备运行风险按照资产使用生命周期的分析如下：

风险点（1-3）：涉及入网前、运行阶段。由于基本管理措施的缺失，没有所有网卡的MAC地址和对应的IP地址的记录，一旦出现IP地址随意设置，就会造成IP地址冲突，导致网络冲突，查找故障点非常困难，导致正常工作的主机无法使用网络办公，业务停滞的风险。

风险点（4-6）：涉及运行阶段。由于终端管理模块的IP/MAC模块没有设置或没有正常设置或因种种原因，导致不能及时有效而全面地监控IP修改状态，甚至IP/MAC模块本身被删除的严重情形，最后可能出现网络运行失控的状态，给业务带来极大的风险。

风险点（7-9）：涉及运行阶段。由于技术控制措施不到位，不能对全部的IP/MAC违规现象进行纠正，如发现终端的IP/MAC地址绑定模块随意修改后，不能采取技术手段及时恢复IP地址的初始状态，也不能对终端进行提示违规行为记录并上报管理员，告警，直至人工现场处理的一系列措施，也会出现网络运行失控的状态，给业务带来极大的风险。

（b）基于相关信息安全关系分析

相关信息安全分为在线信息风险和存储信息风险，IP/MAC篡改风险按照相关信息安全关系的分析如下：

风险点（1-3）：如果缺失有关的IP/MAC异常的监控措施，一旦网络出现任意修改IP地址，造成IP地址冲突，必将造成业务运行中的在线信息风险和存储信息风险。

风险点（4-6）：虽然建立了IP/MAC异常的监控措施，但是如果不能及时有效地起到监控作用，出现网络运行失控的状态，造成业务运行中的在线信息风险和存储信息风险。

风险点（7-9）：如果管理平台的技术能力不够，不能及时发现所有的IP/MAC异常违规，或者不能对所有的IP/MAC异常违规及时告警或处理，将造成安全策略执行不到位。将会给业务带来在线信息风险和存储信息风险。

（c）基于资产使用人分析

资产（终端）使用人包括内部人员、临时人员和外部人员3大类，而内部人员可以再细分为高级管理者，关键业务人员和网络管理人3种角色，临时人员主要是辅助人员岗位（如食堂、车队、绿化等人员），而外部人员包括外来厂商运维人员和系统内外来人员。终端的使用者因为不同的角色和不同的操作意图，一个相同的风险点对应不同身份的终端使用人风险级别也不同。以下将IP/MAC异常违规风险按照终端使用人角色分析如下：

风险点（1-3）：任何岗位角色都会使用网络，都会涉及终端违规网络访问风险问题，因此，该风险与内部人员相关：

a）高级管理岗位，如区域负责人等高层领导，他们不太会修改IP，但是他们的IP地址具有极高的权限，极有可能会被仿冒。

b）地市部门主管、网络管理员、配置管理员、系统管理员、财务部人员等关键岗位业务人员，他们不太会修改IP，但是他们的IP地址具有较高的权限，较有可能会被仿冒。(www.chuimin.cn)

该风险也与临时人员相关：辅助人员岗位（如食堂、车队、绿化等人员等），可能会假冒其他人员的IP，访问与其身份不符的资源，其风险重大。

该风险与外来人员相关：外来厂家人员、特别是外来维护人员其网络知识丰富，也有可能进行IP/MAC假冒，其风险重大。

风险点（4-6）：内部人员在网络使用时，必须有在用终端的IP/MAC对应关系，否则一旦出现问题，不能做有效查找；重点需要了解高级管理岗位，如区域负责人等高层领导在用终端的IP/MAC对应关系和地市部门主管、网络管理员、配置管理员、系统管理员、财务部人员等关键岗位业务人员的在用终端的IP/MAC对应关系；而对于临时人员和外部人员的，因无法事先对其在用终端的IP/MAC作出基线，风险较大。

风险点（7-8）：对于高级管理岗位，如区域负责人等高层领导的在用终端的IP/MAC策略需要重点保证，一旦策略不能及时有效下发，或不能了解当前策略是否有效，造成重要业务不能及时审批，给业务的有效性造成风险。对于地市部门主管、网络管理员、配置管理员、系统管理员、财务部人员等关键岗位业务人员，一旦策略不能生效或与业务冲突，势必对业务造成风险。

风险点（9）：该风险对于高级管理岗位较大，一旦在用终端的IP/MAC绑定监控模块与领导的业务冲突，导致不能上网，必然给业务带来严重风险；当然这个风险也会给内部管理人员如地市部门主管、网络管理员、配置管理员、系统管理员、财务部人员等关键岗位业务人员的业务带来威胁；这个风险与临时人员和外来人员的风险级别不大。

（d）合规性要求

合规性要求见表B-8。

表 B-8

2.风险管控

每类风险在管控过程中，针对风险的事前、事中和事后3种状态进行监控，做到事前预防、事中控制、事后审计追查。下面的风险管控处理流程，尽量从事前、事中和事后3方面对风险管控进行描述。

（1）风险点（1-5）：IP/MAC地址篡改监控缺失风险

事前处置：需要在终端机器入网前，调查记录内部网络配置，做好IP地址，MAC地址，接入区域，接入交换机对应端口，涉及员工等信息登记在IP/MAC绑定表，将这些信息导入分别倒入管理中心，接入交换机对应端口，内置防火墙上。

事中处置：如果发现终端上修改了IP/MAC对应信息，即给终端发出提示信息，提示信息包含有关的警告信息；如果发现终端上修改了IP/MAC对应信息，而且发现有利用修改后的IP地址从事违规的网络活动，管理员有权发送阻断策略，强制将违规终端断网；对于需要进行IP/MAC信息修改的工作要求，可以提交主管领导和信息安全管理人员审批，经过核准之后，才能由管理员进行修改；以上的处置措施都必须作出完整的日志记录，及时上报管理中心。

事后处置：对于该类风险，保留日志记录，如果出现安全事件，可以追溯责任人进行批评和责罚。同时，通过日志审计，对IP/MAC对应表做一些梳理，确定是否需要改进。

控制流程见图B-13。

图 B-13

（2）风险点（6-9）：IP/MAC地址篡改技术控制措施失效风险

事前处置：使用技术手段对终端的IP/MAC等网络配置进行监测和保护，对于违规情况可以及时发现并在适当的情况下进行修复和保护。需要制定有关的应急响应预案，一旦出现策略不能及时更新而技术手段无法实现时需要启动；一旦出现IP/MAC篡改盗用，导致业务遭到影响时需要启动。

事中处置：通过分析实时的终端通信日志、实时的网络设备通信日志了解IP/MAC地址对应是否正常，或者及时发现IP/MAC地址绑定模块被停止和被删除，或者了解IP/MAC地址绑定模块与某些业务是否冲突；如果在规定的时间内得不到反馈信息，需要启动应急预案；一旦出现策略与业务的兼容性问题，需要有逃生机制，即通过人工卸载策略，确保业务的顺利进行。

事后处置：一旦前面的技术手段都失效，需要在安全主管的认可下启动应急预案。首先在确保业务顺利进行的前提下，人工在本地更新或卸载策略。在此基础上再考虑其他问题，如策略不能更新的故障原因、涉及的部门和人员，造成问题的是平台本身的性能原因还是其他因素，这些问题是否在管理制度中作出了相关规定，是否需要完善或补充等。

控制流程见图B-14。

图 B-14

3.风险控制效果

对于此类风险涉及的IP/MAC篡改风险，通过采取管理、规范、流程、技术不同的措施，分别从事前、事中、事后3个方面来加以控制，可以基本达到风险管控的目的。

通过事前对不同角色的用户，逐步建立IP/MAC基线，事中根据这个基线进行监控和事后效果的分析和改善，实现了PDCA的最佳实践，为有效地控制网络流量异常风险达到了效果。事后通过日志审计，可以查找风险源，追溯到终端责任人，这可以给后续的考评管理提供依据。

由于控制平台本身的性能可能会造成风险事件在采集、汇集、分析、展示等不同阶段的遗漏和误判，可能给业务带来风险，因此需要根据可能出现的场景，如策略与业务冲突，定制的技术处理手段失灵等，制定应急预案并做定期演练，努力确保业务的连续性和可靠性。

终端安全风险-IP/MAC地址篡改风险解析

相关推荐