上一期文章提到新型態的攻擊具備的特性，及現有路由器可以提供的功能之后，讓用戶基本掌握了網絡攻擊的防范手段。此篇文章一經刊出，得到了不少用戶的認可，部分忠實用戶已經開始要求得到進一步的協助。本期文章則向大家介紹俠諾科技的新款FVR360v雙WAN及FVR420v四WAN路由器中新加入的防御功能及配置方式。
以下介紹Qno俠諾新近研發并推出的FVR360v/FVR420v路由器的一些功能，方便用戶有更多彈性來應對新形態的攻擊，并作出相對的配置。以下功能導入于FVR300、FVR360/FVR360v、FVR420/FVR420v，針對不同的攻擊，說明必須新導入的功能。
FVR360v/FVR420v路由器新防衛功能
1、洪水攻擊防御的加強：洪水攻擊攻擊屬于DOS攻擊的一種，它利用網絡協議缺陷，通過發送大量的半連接請求，耗費CPU和內存資源。受攻擊路由器將忙于處理攻擊者偽造的TCP連接請求而無暇理睬客戶的正常請求，或最后產生TCP/IP堆棧溢出崩潰死機。
針對這種攻擊，FVR360v/FVR420v軟件中的防火墻功能加上洪水攻擊的門坎機制，用戶可針對網絡廣域網及局域網每秒網絡包或是單一IP每秒發出網絡包，設定門坎，如果超過特定門坎，則阻擋該IP或是整個網絡的上網需求。在這個設定中，具有關鍵性地位的是針對單一IP設定的門坎，根據Qno俠諾技術工程師實際的工作經驗發現，設定在每秒2000個包，應可有效抵抗攻擊。值得注意的是，當設定門坎太低時，對于QQ視頻或是相似的應用，會產生影響，因此也不能設定太低。
 |
| 圖一：UDP及ICMP網絡協議的攻擊也很普遍 |
圖一：要對抗洪水攻擊，必須針對大量發出網絡包的IP地址加以管制，除了TCP協議外，現在UDP及ICMP網絡協議的攻擊也很普遍。
2、MAC/IP欺騙型ARP攻擊防御的加強
另外，以往的攻擊經常利用TCP協議進行，最近發現UDP及ICMP的攻擊型式也漸漸增加，因此在我們在推出的FVR360v與FVR420v兩款新產品中加進了這個功能。
ARP攻擊利用廣播封包，影響網絡的運作。Qno俠諾之前推廣了雙向綁定的解決方案，即在客戶端及路由器端都必須進行ARP協議的綁定，可預防受到干擾。但是新版ARP變型攻擊軟件采取自動變換IP及MAC的方式，不斷發出網絡包給路由器，讓路由器忙于處理無用的數據包，而影響正常的運作。
在新版的FVR360v/FVR420v軟件中，加入了自動判別的功能，可以不理會非正常MAC或IP所發出的數據包，也不加以轉發，可減少攻擊所產生的影響。用戶可在配置路由器時，進行學習功能，并確認正當的IP及MAC，此后路由器即可拒絕其它的網絡包，以降低ARP攻擊的影響。一旦本機作用，受到影響的只會是發動攻擊的計算機，因為忙于攻擊放運作緩慢，但是其它用戶不會受到影響。
4、語音告警功能：
新版的Qno俠諾FVR360v/FVR420v內建發音功能，配合以上的功能，在第一時間可以針對新型態攻擊阻擋，同時會以語音警示的形式發出遭受攻擊的訊息。此時網管可實時了解受到攻擊的情況，并可通過日志功能找出問題的來源并加以隔離，有效控制受害。Qno俠諾強調，抵擋攻擊與實時通知兩方面都要作好，才能真正協助用戶改善網絡安全問題。
 |
| 圖二：FVR360v/FVR420v語音發出遭受攻擊的訊息 |
圖二：新版Qno俠諾FVR360v/FVR420v內建發音功能，在第一時間可以針對新型態攻擊阻擋，同時會以語音發出遭受攻擊的訊息。
整體解決之道
除了路由器的配置以外，Qno俠諾技術服務部門也總結了全國許多資深網管的經驗，另外提供兩個值得參考的改善點：
1、減少用戶使用外掛軟件機會
很多環境發生攻擊的事件，通常是因為用戶用了外掛軟件，因此如能減少用戶使用外掛軟件，就能減少攻擊。在國內一些較先進的網吧，已經提供完整的外掛軟件，不讓用戶自己從網絡下載軟件，這樣可以減少攻擊情況的發生。這點對于一些網吧而言，可能不太習慣，但是不失為一個有效管制方法。
2、配合三層交換管制網絡
國內許多中大型網吧采用三層交換機作為骨干交換機，由于三層交換機也具備許多管制功能，因此如能善用三層交換機之功能，也可較好的針對攻擊加以抵抗。有些網管在使用時，只是把三層交換機當成一般的交換機使用，是有些可惜了！
