据卡内基梅隆大学的

CERT/CC(计算机应急反应小组/控制中心)称，80%的安全突破

事件是由薄弱的口令引起的。网络上有大多数路由器的广泛的默认口令列表。你可以肯定
在某些地方的某个人会知道你的生日。

SecurityStats.com 网站维护一个详尽的可用/不可用

口令列表，以及一个口令的可靠性测试。

　　

2.关闭 IP 直接广播(IP Directed Broadcast)

　　你的服务器是很听话的。让它做什么它就做什么，而且不管是谁发出的指令。

Smurf 攻

击是一种拒绝服务攻击。在这种攻击中，攻击者使用假冒的源地址向你的网络广播地址发
送一个

“ICMP echo”请求。这要求所有的主机对这个广播请求做出回应。这种情况至少会降

低你的网络性能。

　　参考你的路由器信息文件，了解如何关闭

IP 直接广播。例如，“Central(config)#no ip 

source-route”这个指令将关闭思科路由器的 IP 直接广播地址。

　　

3.如果可能，关闭路由器的 HTTP 设置

　　正如思科的技术说明中简要说明的那样，

HTTP 使用的身份识别协议相当于向整个网

络发送一个未加密的口令。然而，遗憾的是，

HTTP 协议中没有一个用于验证口令或者一

次性口令的有效规定。

　　虽然这种未加密的口令对于你从远程位置

(例如家里)设置你的路由器也许是非常方便

的，但是，你能够做到的事情其他人也照样可以做到。特别是如果你仍在使用默认的口令

!

如果你必须远程管理路由器，你一定要确保使用

SNMPv3 以上版本的协议，因为它支持

更严格的口令。

　　

4.封锁 ICMP ping 请求

　　

ping 的主要目的是识别目前正在使用的主机。因此，ping 通常用于更大规模的协同性

攻击之前的侦察活动。通过取消远程用户接收

ping 请求的应答能力，你就更容易避开那些

无人注意的扫描活动或者防御那些寻找容易攻击的目标的

“脚本小子”(script kiddies)。

　　请注意，这样做实际上并不能保护你的网络不受攻击，但是，这将使你不太可能成
为一个攻击目标。

　　

5.关闭 IP 源路由

　　

IP 协议允许一台主机指定数据包通过你的网络的路由，而不是允许网络组件确定最

佳的路径。这个功能的合法的应用是用于诊断连接故障。但是，这种用途很少应用。这项功
能最常用的用途是为了侦察目的对你的网络进行镜像，或者用于攻击者在你的专用网络
中寻找一个后门。除非指定这项功能只能用于诊断故障，否则应该关闭这个功能。

　　

6.确定你的数据包过滤的需求

　　封锁端口有两项理由。其中之一根据你对安全水平的要求对于你的网络是合适的。

教你架设安全的交换机系统

交换机在企业网中占有重要的地位，通常是整个网络的核心所在。在这个黑客入侵风起云
涌、病毒肆虐的网络时代，作为核心的交换机也理所当然要承担起网络安全的一部分责任。
因此，交换机要有专业安全产品的性能，安全已经成为网络建设必须考虑的重中之中。安
全交换机由此应运而生，在交换机中集成安全认证、

ACL（Access Control List，访问控制

列表）、防火墙、入侵检测甚至防毒的功能，网络的安全真的需要

“武装到牙齿”