過年、生意兩不誤 俠諾教您防攻擊（網吧篇）
過年了親人團聚、回鄉探親，春節是中國人最重要的節日了。隨著網路應用的普及化，現代人對於網路需求與應用有越來越多了，根據產業市場動態分析，預計春節期間各地網吧市場將出現更勝往年的盛況榮景。然而，對於網吧業主來說，如何保證在天天客戶爆滿的情況下，提供客戶優質的網路服務與玩家暢遊的品質，是最值得下功夫的事情了，過年、生意兩不誤，相信是所以網吧老闆的心聲。有著多年客戶服務的經驗的Qno俠諾工程師們，向廣大網吧用戶介紹了幾點網路防攻擊的方法，希望能夠幫助用戶過一個愉快而輕鬆的春節。
一般而言，網吧要能維持長時間優質的網路服務，最重要的是能防範內外網的攻擊，有效降低內外網被癱瘓的機會，避免造成卡網或當機等網路服務被中斷等嚴重問題。俠諾工程師在這裏為大家提供了常見的內網攻擊包含ARP攻擊、洪水攻擊、內網惡意佔用帶寬者等快速有效的解決方法，以及針對目前新型外網攻擊例如機器狗病毒等應對措施，並期望能幫助網吧的網管人員，輕鬆安心過個黃金鼠年！
一、內網攻擊
1、IP / MAC 雙項邦定，有效防制ARP攻擊 / IP欺騙
對於網吧來說，ARP攻擊可以說是一個最常見的攻擊模式，自2006年至今已演變為新的攻擊方式，使用更高頻率的ARP ECHO，超過了用戶的ARP ECHO廣播。由於發出廣播包的次數太多，因此會使整個局域網變慢或佔用閘道運算能力，發生內網很慢或上網卡的現象。甚至嚴重時，會經常發生瞬斷或全網掉線的情況。而內網IP欺騙是在ARP攻擊普及後，另一個緊隨出現的攻擊方式。攻擊電腦會偽裝成一樣的IP，讓受攻擊的電腦產生IP衝突，無法上網。這種攻擊現象，通常影響的電腦有限，不致出現大規模影響。
要同時解決ARP攻擊以及IP欺騙，到現在為止最簡單有效的方法仍屬於Qno俠諾提出的雙向綁定方式。網管人員可預先在每台PC上做好路由器及網吧遊戲、電影伺服器等IP / MAC綁定，再通過路由器對內網每台PC之IP / MAC進行綁定。如此一來，通過路由器與PC雙向IP/MAC綁定，即可有效避免受到ARP攻擊與IP欺騙。不過，由於網吧用戶端PC關機後，IP/ MAC綁定會自動清除，因此網管若要重新一一進行綁定，確實是一個很沉重的負擔，因此PC端可通過建立一個BAT檔@echo / arp -d / arp -s，讓用戶開機可自動執行IP/MAC綁定，即可有效解決這個問題。
要進一步檢視PC端是否幫定路由器與伺服器IP/MAC，可開啟dos cmd輸入指令ARP -a，出現IP與MAC位址，在後端顯示的type列表查看是否顯示為static，若是即為綁定成功，若出現dynamic，表示沒有成功，則須重新綁定。
 |
| 圖一：路由器IP / MAC綁定 |
 |
| 圖二：PC端IP/MAC綁定 |
2、強效防火牆DoS啟動，全面防制內網洪水攻擊
內網攻擊是從內網電腦發出大量網路包，佔用內網頻寬。通常是用戶安裝了外掛，變成發出攻擊的電腦，不斷的對路由器發出大量如洪水般流量的封包，而路由器忙著處理這些大量不正常的封包，導致內網呈現癱瘓。一旦內網遭受洪水攻擊，網管會發現內網很慢就是這個原因。而一般網管實行Ping路由掉包，卻不知是那一台影響的，原因在於有的內網攻擊會自行變換IP，讓網管更難找出是誰發出的網路包。
Qno俠諾對於內網攻擊的解決方案，可直接啟動防火牆中DoS的功能，預設值將每秒可發的封包數限定在2000筆之內，或可使用進階設定每秒允許最大的封包流量。一般而言，使用視訊下載大約每秒封包數為每秒500筆，因此每秒超過2000筆封包的流量，我們即可視為不正常或是已經遭受攻擊，可採取立即予以阻檔並切斷聯機，即可有效防範路由器被內網部正常洪水流量攻擊。若要進一步檢視是否有設定成功，可用一台PC發出攻擊封包測試，如果設定成功，網管人員會發現該台PC立刻會發生掉線的情況，這就是因為被路由器認定為發出攻擊電腦，自動被切斷所致，網管可進一步檢視其他電腦是否可正常上網，即可確保DoS防內網攻擊設定成功。
 |
| 圖三：DoS防制內網流量攻擊 |
3、智慧QoS / 聯機數管控，即時有效抑制惡意佔用帶寬用戶
網吧用戶也常遭遇到內網用戶下載BT、P2P等影音視訊，如果未即時加以抑制與管理，很有可能會將帶寬全部吃光，造成嚴重卡網等問題，進而威脅到正常用戶的網路服務品質。許多網吧用戶針對惡意佔用帶寬者的解決方式，通常是採用傳統的帶寬管理模式，可統一限制每台PC最大可使用的帶寬流量，但由於要找出帶寬使用異常的數據機，必須手動從IP紀錄中一一查找，而就算找出該數據機給予警告之後，過不了多久，又可能發生了同樣的問題，可以說是防不甚防。如果每隔一段時間就會卡網，對於分秒必爭的網吧業者來說，就像是存在一枚不定時炸彈。
為了即時解決及懲罰惡意佔用帶寬用戶，Qno俠諾提出“智慧QoS”，擁有自動懲罰機制，自動將大量占帶使用者列於觀察列表，網管可一目了然觀察異常名單，大大減輕網管一一查找IP紀錄的負擔。如有持續占帶情形，網管可立即啟動二次懲罰，將該占帶者可使用頻寬減少至50%，達成即時懲罰的目地。另外智慧QoS還可針對時間、門檻流量進行自由設定，也就是說當網吧整體帶寬使用達一定比率(60%)，才自動啟用帶寬管理的功能，可進一步保障帶寬使用率最佳化。
除了利用“智能QoS“防制大量佔用帶寬者之外，也可搭配QoS中的聯機數管控功能，可限制網吧用戶每台PC可容許聯機數的最大值，拒絕BT、視訊等下載，使用大量聯機數吃掉內網整體帶寬，可以說是保證正常用戶帶寬第二重保障。
 |
| 圖四：Qno俠諾“智慧QoS”有效抑制大量占帶使用者 |
 |
| 圖五：“聯機數管控”有效抑制大量占帶者 |
二、外網攻擊
1、機器狗病毒肆虐，Qno俠諾教您防範解決之道
近期，網吧用戶深受“機器狗”病毒侵擾。它是一種可以穿透還原軟體與硬體還原卡的病毒。通過釋放pcihdd.sys驅動檔搶佔還原軟體的硬碟控制權。並修改用戶初始化檔userinit.exe來實現隱藏自身的目的。此病毒為一個典型的網路架構木馬型病毒，病毒穿透還原軟體後將自己保存在系統中，定期從指定的網站下載各種木馬程式來截取用戶的帳號資訊，危害極大。
網管人員可通過兩個方法檢視是否遭受“機器狗”病毒感染。方法一，查看開啟系統目錄的 system32 檔夾中，是否有該檔版本標籤，如果沒有的話，表示已經中了機器狗。方法二，通過查看DRVERS目錄下產生pcihdd.sys驅動檔，會在啟動項載入“cmdbcs,mppds,upxdnd,winform,msccrt,avpsrv,msimms32,dbghlp32,diskman32”啟動項，並在windows目錄會產生以上相應檔，機器重啟後以上設置都還真實保存，表示也中了“機器狗”病毒。
由於“機器狗”病毒可穿透還原軟體與硬體還原卡。一旦感染，就必須將病毒主機斷網殺毒、恢復系統鏡像或重做系統。而俠諾科技提出防制機器狗解決之道，可在防火牆中設定IP部分採用Access Rule規則阻擋,功能變數名稱部分用“網頁內容管制設定”阻擋，即可事先有效防範網吧用戶端下載機器狗病毒。以下列出已公佈隱含機器狗的IP地址、網址和功能變數名稱，提供網吧用戶作為建立防範機制的參考：
（1）隱含機器狗病毒IP位址：
59.34.198.103、58.51.62.182、58.211.254.103、60.190.118.211、60.190.223.117、60.190.222.150、60.190.222.235、60.190.203.150、60.191.124.236、61.152.101.128、202.104.57.161、218.83.175.154、219.153.55.113、221.130.191.207
（2）隱含機器狗病毒網址和功能變數名稱：
www.tomwg.com、Yu.8s7.net、www.17max.cn、www.951ksf.com、www.pp365.com、www.111ss.com、www.11se.com、www.joppnqq.com、www.77886699.cn、www.94ak.com、www.99mmm.com、www.161816.com、www.91ni.com、www.35832.com、www.15197.com
 |
| 圖六：用Qno俠諾防火牆有效封鎖機器狗病毒網址 |
 |
| 圖七：用Qno俠諾防火牆有效封鎖機器狗病毒功能變數名稱 |
※ 文件下載 [doc] |
