欺骗和路径中攻击

欺骗是伪造身份以蒙骗系统或人员。攻击者冒充受信任的来源，例如已知的 IP 地址、MAC 地址、电子邮件发件人或网站，以获取访问权限或拦截流量。

欺骗是许多网络攻击的基础。如果设备盲目信任某个地址，伪造该地址就能让攻击者绕过防御或重定向流量。

IP 欺骗会伪造数据包中的源 IP 地址，使其看起来像是来自受信任的主机。攻击者利用它绕过基于 IP 的过滤、隐藏来源，或通过诱使服务器向受害者回复来放大拒绝服务攻击。

由于基本的 IP 不会验证来源，因此欺骗很容易实施。防御措施包括入口和出口过滤，用于丢弃源地址明显伪造的数据包。

MAC 欺骗会更改设备的硬件（媒体访问控制）地址，以冒充另一台设备。攻击者利用它绕过基于 MAC 的访问控制，或在 LAN 上接管受信任设备的身份。

由于 MAC 地址可以通过软件更改，仅依赖它们来保障安全是不可靠的。交换机上的端口安全功能可以限制每个端口允许使用的 MAC 地址，从而提供帮助。

路径中攻击（以前称为中间人攻击）会将攻击者秘密置于两个通信方之间。攻击者转发消息，并可能在两方都以为彼此直接通信时篡改消息。

处于这一位置的攻击者可以读取机密数据、窃取凭据，或修改传输中的内容，同时破坏机密性和完整性。

在 LAN 上实施路径中攻击的一种常见方式是 ARP 中毒。ARP（地址解析协议）负责将 IP 地址映射到 MAC 地址，并且会盲目信任回复。

攻击者发送伪造的 ARP 回复，声称网关 IP 属于自己的 MAC 地址。这样，受害者就会将流量发送给攻击者，再由攻击者转发出去。这会让整个 LAN 的流量悄无声息地经过攻击者的设备。

DNS 欺骗（DNS 缓存中毒）会向解析器提供虚假记录，使域名解析到攻击者的服务器。用户输入合法网址后，会在不知情的情况下被转到虚假网站。

这会导致凭据窃取和恶意软件传播。防御措施包括 DNSSEC（域名系统安全扩展），它加入数字签名，使解析器能够验证记录是否真实。

攻击者可能放置一个恶意接入点或邪恶双胞胎：伪装成合法网络的虚假 Wi-Fi 网络。用户连接后，其全部流量都会经过攻击者，这就构成了通过虚假基础设施实施的路径中攻击。

恶意 DHCP 服务器的工作方式类似：它分发恶意网关地址或 DNS 地址，使受害者在不知情的情况下将流量经由攻击者转发。

防御路径中攻击的最强手段是加密。即使攻击者位于两个通信方之间，加密流量（HTTPS、VPN、SSH）也无法被读取，并且任何篡改都会暴露。

这就是全面使用 HTTPS 很重要的原因：开放 Wi-Fi 上的路径中攻击者可以拦截流量，但 TLS 加密意味着他们捕获的只有无法读取或安全篡改的乱码和无用数据。

欺骗和路径中攻击的迹象包括意外的证书警告、ARP 表突然变化、重复的 IP 或 MAC 警报，以及流量经过异常路径。网络监控和入侵检测可以标记 ARP 异常和恶意设备。

用户应当重视浏览器的安全警告，因为它们往往是有人拦截连接的唯一外在迹象。

没有任何单一控制措施能够阻止所有欺骗行为。应组合使用多种措施：在交换机上启用动态 ARP 检查和DHCP 监听、使用端口安全、过滤伪造源地址的数据包、部署 DNSSEC，以及广泛采用加密。

这些措施结合起来会大幅提高冒充的难度，并确保即使拦截成功，攻击者得到的数据也无法读取，从而挫败攻击目的。

欺骗会伪造 IP、MAC、DNS 或设备身份，而路径中攻击会将攻击者插入两个通信方之间，以读取或篡改流量。ARP 中毒、DNS 欺骗和恶意接入点等技术都能实现这些攻击。加密、DNSSEC、动态 ARP 检查、DHCP 监听和端口安全构成了阻止它们的分层防御。

测试您对攻击的了解。

欺骗会伪造身份（IP、MAC、DNS 或设备），而路径中攻击会秘密地将攻击者插入两个通信方之间。ARP 中毒、DNS 欺骗和恶意接入点都能实现这一点。防御措施包括组合使用加密、DNSSEC、动态 ARP 检查、DHCP 监听和端口安全。