[發明專利]一種無線報文偵聽檢測方法、系統及中控服務器

有效

• 申請號: 201410758658.9
• 申請日: 2014-12-10
• 公開（公告）號: CN104852894A
• 公開（公告）日: 2015-08-19
• 發明（設計）人: 楊卿;柴坤哲
• 申請（專利權）人: 北京奇虎科技有限公司;奇智軟件(北京)有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04W12/12
• 代理公司: 北京中強智尚知識產權代理有限公司 11448
• 代理人: 杜晶

1.一種無線報文的偵聽檢測方法，其中：

中控服務器接收無線熱點和客戶端裝置的無線數據包；

所述中控服務器從所述無線數據包中解析出特征信息并存儲；

所述中控服務器根據攻擊指紋庫中設置的指紋信息和攻擊事件模型對所述無線數據包進行匹配檢測，獲得檢測結果。

2.如權利要求1所述的方法，其特征在于：

當所述中控服務器判斷所述無線數據包為WPA數據包時，所述中控服務器將所述WAP數據包與所述攻擊指紋庫中的斷線包指紋進行匹配，如果匹配成功，則確定所述WAP數據為斷線包并確定受到攻擊，將發送此斷線包的源MAC地址加入到動態黑名單中。

3.如權利要求1或2所述的方法，其特征在于：

所述中控服務器統計各個客戶端裝置連接的無線熱點的數量；當判斷某個客戶端裝置在某一時間段內連接的無線熱點的數量超過預設的閾值時，則確定此客戶端裝置為可疑設備。

4.如權利要求1或2所述的方法，其特征在于：

所述中控服務器統計所述無線數據包中的無線熱點的SSID名稱；當所述中控服務器判斷出現SSID名稱相同的多個無線熱點、并且所述多個無線熱點中的一個或多個無線熱點接收斷線包的頻率超過了預設的頻率閾值時，則確定出現異常。

5.如權利要求4所述的方法，其特征在于：

當所述中控服務器判斷某個無線熱點的SSID名稱長度超過預設的長度閾值時，則確定此無線熱點受到攻擊，并將發起攻擊的源MAC地址加入到動態黑名單中。

6.如權利要求1所述的方法，其特征在于：

傳感器實時或定時采集無線網絡中無線熱點、客戶端裝置接收或發送的無線數據包，并發送到所述中控服務器；其中，所述傳感器包括無線網卡；

所述傳感器向所述中控服務器發送所述無線數據包采用的協議包括：802.1X；

所述無線熱點包括：無線路由器、無線AP；所述客戶端裝置包括：移動終端、PC、筆記本電腦。

7.如權利要求1所述的方法，其特征在于：

所述中控服務器根據所述特征信息、以及檢測結果實時生成所述無線熱點和客戶端裝置的狀態信息，并將所述狀態信息發送到監控終端進行顯示；

當所述中控服務器確定無線網絡受到攻擊或出現異常時，將告警信息發送到監控終端進行顯示；

所述監控終端包括：移動終端、PC、筆記本電腦；所述特征信息包括：SSID名稱、熱點加密方式、頻道、MAC地址、客戶端MAC地址、QSS信息、WPS信息、認證信息。

8.一種中控服務器，其特征在于，包括：

信息接收單元，用于接收無線熱點和客戶端裝置的無線數據包；

信息解析單元，用于從所述無線數據包中解析出特征信息并存儲；

入侵判斷單元，用于根據攻擊指紋庫中設置的指紋信息和攻擊事件模型對所述無線數據包進行匹配檢測，獲得檢測結果。

9.如權利要求8所述的中控服務器，其特征在于：

所述入侵判斷單元，還用于當判斷所述無線數據包為WPA數據包時，將所述WAP數據包與所述攻擊指紋庫中的斷線包指紋進行匹配，如果匹配成功，則確定所述WAP數據為斷線包并確定受到攻擊，將發送此斷線包的源MAC地址加入到動態黑名單中。

10.一種無線報文的偵聽檢測系統，其特征在于，包括：

如權利要求8至9任意一項所述的中控服務器；

傳感器，用于采集無線熱點和客戶端裝置的無線數據包，并將所述無線數據包發送到所述中控服務器。