[發(fā)明專利]ARP欺騙攻擊檢測系統(tǒng)及方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201210417103.9
• 申請(qǐng)日: 2012-10-26
• 公開（公告）號(hào): CN103095675A
• 公開（公告）日: 2013-05-08
• 發(fā)明（設(shè)計(jì)）人: 趙誠冕
• 申請(qǐng)（專利權(quán)）人: 三星SDS株式會(huì)社
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L29/12;H04L12/70
• 代理公司: 北京銘碩知識(shí)產(chǎn)權(quán)代理有限公司 11286
• 代理人: 韓明星;金光軍

1.一種ARP欺騙攻擊檢測系統(tǒng)，包括：

接收模塊，用于接收ARP數(shù)據(jù)包，并判斷所接收的所述ARP數(shù)據(jù)包是否為未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包；

發(fā)送模塊，當(dāng)所接收的所述ARP數(shù)據(jù)包被判斷為是未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包時(shí)，生成與所接收的所述未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包對(duì)應(yīng)的ARP請(qǐng)求數(shù)據(jù)包，并散布所生成的所述ARP請(qǐng)求數(shù)據(jù)包；以及

檢測模塊，當(dāng)接收到與所散布的所述ARP請(qǐng)求數(shù)據(jù)包對(duì)應(yīng)的ARP響應(yīng)數(shù)據(jù)包時(shí)，判斷所接收的所述ARP響應(yīng)數(shù)據(jù)包的輸入端口和所述未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包的輸入端口是否一致，若不一致，則判斷為發(fā)生了ARP欺騙攻擊。

2.根據(jù)權(quán)利要求1所述的ARP欺騙攻擊檢測系統(tǒng)，其中，所述ARP請(qǐng)求數(shù)據(jù)包是用于請(qǐng)求與所接收的所述未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包的發(fā)送IP地址對(duì)應(yīng)的MAC地址的數(shù)據(jù)包。

3.根據(jù)權(quán)利要求1所述的ARP欺騙攻擊檢測系統(tǒng)，其中，該ARP欺騙攻擊檢測系統(tǒng)還包括數(shù)據(jù)包信息存儲(chǔ)模塊，用于當(dāng)所述接收模塊所接收的所述ARP數(shù)據(jù)包被判斷為是未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包時(shí)，在ARP事務(wù)表中生成對(duì)應(yīng)于所述未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包的ARP等待條目，并在所生成的所述ARP等待條目中附加包含所述未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包的輸入端口信息的所述未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包的信息。

4.根據(jù)權(quán)利要求3所述的ARP欺騙攻擊檢測系統(tǒng)，其中，當(dāng)所接收的所述ARP數(shù)據(jù)包為ARP響應(yīng)報(bào)文，并且所述ARP事務(wù)表中不存在對(duì)應(yīng)于所述ARP響應(yīng)報(bào)文的ARP等待條目時(shí)，所述接收模塊將所述ARP數(shù)據(jù)包判斷為未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包。

5.根據(jù)權(quán)利要求3所述的ARP欺騙攻擊檢測系統(tǒng)，其中，所述檢測模塊判斷對(duì)應(yīng)于所接收的所述ARP響應(yīng)數(shù)據(jù)包的ARP事務(wù)表內(nèi)的ARP等待條目中是否包含未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包的信息，且當(dāng)包含未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包的信息時(shí)，判斷所接收的所述ARP響應(yīng)數(shù)據(jù)包的輸入端口和包含在所述ARP等待條目中的所述未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包的輸入端口是否一致。

6.根據(jù)權(quán)利要求3所述的ARP欺騙攻擊檢測系統(tǒng)，其中，當(dāng)對(duì)應(yīng)于所接收的所述ARP響應(yīng)數(shù)據(jù)包的ARP事務(wù)表內(nèi)的ARP等待條目中不存在所述未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包的輸入端口信息時(shí)，所述檢測模塊從所述ARP事務(wù)表中刪除對(duì)應(yīng)于所接收的所述ARP響應(yīng)數(shù)據(jù)包的ARP等待條目，并將所述接收模塊所接收的所述ARP數(shù)據(jù)包傳送到目的地。

7.一種用于在ARP欺騙攻擊檢測系統(tǒng)中檢測ARP欺騙攻擊的方法，包括：

第一步驟，由所述檢測系統(tǒng)接收ARP數(shù)據(jù)包，并判斷所接收的所述ARP數(shù)據(jù)包是否為未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包；

第二步驟，當(dāng)所接收的所述ARP數(shù)據(jù)包被判斷為是未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包時(shí)，由所述檢測系統(tǒng)生成與所接收的所述未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包對(duì)應(yīng)的ARP請(qǐng)求數(shù)據(jù)包，并散布所生成的所述ARP請(qǐng)求數(shù)據(jù)包；

第三步驟，由所述檢測系統(tǒng)接收與所散布的所述ARP請(qǐng)求數(shù)據(jù)包對(duì)應(yīng)的ARP響應(yīng)數(shù)據(jù)包；以及

第四步驟，由所述檢測系統(tǒng)判斷所接收的所述ARP響應(yīng)數(shù)據(jù)包的輸入端口和所述未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包的輸入端口是否一致，若不一致，則判斷為發(fā)生了ARP欺騙攻擊。

8.根據(jù)權(quán)利要求7所述的ARP欺騙攻擊檢測方法，其中，所述第二步驟中所生成的所述ARP請(qǐng)求數(shù)據(jù)包是用于請(qǐng)求與所述第一步驟所接收的所述未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包的發(fā)送IP地址對(duì)應(yīng)的MAC地址的數(shù)據(jù)包。

9.根據(jù)權(quán)利要求7所述的ARP欺騙攻擊檢測方法，其中，在執(zhí)行所述第一步驟之后及執(zhí)行所述第二步驟之前，還包含如下步驟：當(dāng)所接收的所述ARP數(shù)據(jù)包被判斷為是未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包時(shí)，由所述檢測系統(tǒng)在ARP事務(wù)表中生成對(duì)應(yīng)于所述未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包的ARP等待條目，并在所生成的所述ARP等待條目中附加包含所述未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包的輸入端口信息的所述未經(jīng)請(qǐng)求的ARP數(shù)據(jù)包的信息。