IP パケット保護

パケットが異なるネットワークを通過する場合、パケットを各ネットワークの 最大送信単位(MTU)に基づいた小さな断片(フラグメント)に分割する必要がある場合があります。IP フラグメントには、特定の IP スタック実装のパケット再組み込みコードの脆弱性を悪用しようとする攻撃者の試みがある場合があります。被害者がこれらのパケットを受信すると、その結果はパケットを不適切に処理していたり、システム全体がクラッシュするまで広範囲で起きることができます。図 1 を参照してください。

図 1:IPパケット フラグメント

Junos OS で IP フラグメントを拒否セキュリティ ゾーン、そのゾーンにバインドされたインターフェイスで受信した IP パケット フラグメントすべてがブロックされます。

IPv6パケットでは、フラグメント情報はIPv6ヘッダーに存在しません。フラグメント情報は、IPv6 のフラグメント化と再アセンブを実行するフラグメント拡張ヘッダーに存在します。フラグメント化が必要な場合、ソース ノードは IPv6 ヘッダーとペイロード ヘッダーの間にフラグメント拡張ヘッダーを挿入します。図 2 を参照してください。

図 2:IPv6パケット

フラグメント拡張ヘッダーの一般的な形式を図 3 に示します。

図 3:フラグメント拡張ヘッダー

この例では、フラグメント化された IP パケットをドロップする方法を示しています。

IP 標準 RFC 791、Internet Protocolは、特別なルーティング制御、診断ツール、セキュリティを提供する 8 つのオプションセットを指定します。これらのオプションの目的は当初から目的を果たした目的ですが、価値のある目的を果たしたユーザーは、これらのオプションをひねってあまり評価のできない目標を達成する方法を考え出しています。

意図的または偶発的に、攻撃者が IP オプションを不適切に設定して、不完全なフィールドと不正な形式のフィールドを生成することがあります。パケットを作成した人の意図に関係なく、正しくないフォーマットは異常であり、意図した受取人に悪影響を与える可能性があります。図 4 を参照してください。

図 4:不適切にフォーマットされた IP オプション

不正なIPオプション保護画面オプションを有効にすると、IP Junos OSヘッダーのIPオプションが正しくフォーマットされていない場合に、パケットをブロックします。さらに、イベントJunos OSログにイベントを記録する必要があります。

この例では、不正にフォーマットされたオプションを使用して、大きな ICMP パケットをブロックする方法を示しています。

最新の IANA プロトコル番号ドキュメントに基づき、ID 番号が 143 以上のプロトコル タイプは、現時点で予約され、変更されています。これらのプロトコルは正確に分別されるからといって、特定の未知のプロトコルが無害なプロトコルか悪意のあるプロトコルかを事前に知る方法はありません。

ネットワークで ID 番号が 143 以上の標準に対応していないプロトコルを使用しない限り、そのような未知の要素が保護されたネットワークに入り込むのを慎重に考える姿勢です。図 5 を参照してください。

図 5:未知のプロトコル

未知のプロトコル保護 screen オプションを有効にすると、プロトコル フィールドにデフォルトで143以上のプロトコルID番号が含まれている場合、Junos OSパケットをドロップします。

この例では、未知のプロトコルを使用してパケットをドロップする方法を示しています。