[發明專利]一種ARP欺騙的分布式檢測方法及系統

有效

• 申請號: 201510225294.2
• 申請日: 2015-05-05
• 公開（公告）號: CN104901953B
• 公開（公告）日: 2018-03-23
• 發明（設計）人: 朱大立;龐娜;范哲銘
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京路浩知識產權代理有限公司11002
• 代理人: 李相雨

1.一種ARP欺騙的分布式檢測方法，其特征在于，包括：

在預設時間段內監控第一終端和第二終端之間通信的請求與應答的包含所述第一終端和所述第二終端IP地址的第一數據包的數量，以及所述第一終端對應的第一MAC地址和所述第二終端對應的第二MAC地址之間通信的第二數據包的數量；

根據所述請求與應答的第一數據包的數量以及所述第一終端對應的第一MAC地址和所述第二終端對應的第二MAC地址之間通信的第二數據包的數量，判斷所述第一終端和第二終端之間的通信的第一數據包中是否存在待驗證的異常通信數據包；

所述根據所述請求與應答的第一數據包的數量以及所述第一終端對應的第一MAC地址和所述第二終端對應的第二MAC地址之間通信的第二數據包的數量，判斷所述第一終端和第二終端之間的通信的第一數據包中是否存在待驗證的異常通信數據包，包括：

在所述第一數據包的數量大于所述第二數據包的數量時，確定所述第一數據包中存在待驗證的異常通信數據包；

當確定所述第一數據包中存在待驗證的異常通信數據包時，向所述第一MAC地址對應的第一終端發送所述待驗證的異常通信數據包，以使所述第一終端對所述待驗證的異常通信數據包進行驗證。

2.根據權力要求1所述的方法，其特征在于，所述當確定所述第一數據包中存在待驗證的異常通信數據包時，向所述第一MAC地址對應的第一終端發送所述待驗證的異常通信數據包，包括：

所述第一終端接收所述待驗證的異常通信數據包，并提取所述待驗證的異常通信數據包中的待驗證MAC地址。

3.根據權利要求2所述的方法，其特征在于，所述第一終端對所述待驗證的異常通信數據包進行驗證，包括：

所述第一終端通過將所述第一MAC地址與所述待驗證MAC地址進行比較，對所述待驗證的異常通信數據包進行驗證。

4.根據權利要求3所述的方法，其特征在于，所述方法還包括：

所述第一終端在所述第一MAC地址與所述待驗證MAC地址不同時，確定所述待驗證的異常通信數據包為異常通信數據包，并向所述異常通信數據包中的待驗證MAC地址對應的終端發送拒絕服務的信息。

5.一種ARP欺騙的分布式檢測系統，其特征在于，包括：

監控模塊，用于在預設時間段內監控第一終端和第二終端之間通信的請求與應答的包含所述第一終端和所述第二終端IP地址的第一數據包的數量，以及所述第一終端對應的第一MAC地址和所述第二終端對應的第二MAC地址之間通信的第二數據包的數量；

判斷模塊，用于根據所述請求與應答的第一數據包的數量以及所述第一終端對應的第一MAC地址和所述第二終端對應的第二MAC地址之間通信的第二數據包的數量，判斷所述第一終端和第二終端之間的通信的第一數據包中是否存在待驗證的異常通信數據包；

所述判斷模塊，進一步用于：

在所述第一數據包的數量大于所述第二數據包的數量時，確定所述第一數據包中存在待驗證的異常通信數據包；

發送模塊，用于當確定所述第一數據包中存在待驗證的異常通信數據包時，向所述第一MAC地址對應的第一終端發送所述待驗證的異常通信數據包，以使所述第一終端對所述待驗證的異常通信數據包進行驗證。

6.根據權力要求5所述的系統，其特征在于，所述發送模塊，用于：

向所述第一MAC地址對應的第一終端發送所述待驗證的異常通信數據包，以使所述第一終端接收所述待驗證的異常通信數據包，并提取所述待驗證的異常通信數據包中的待驗證MAC地址。

7.根據權利要求6所述的系統，其特征在于，所述發送模塊，還用于：

向所述第一MAC地址對應的第一終端發送所述待驗證的異常通信數據包，以使所述第一終端通過將所述第一MAC地址與所述待驗證MAC地址進行比較，對所述待驗證的異常通信數據包進行驗證。

8.根據權利要求7所述的系統，其特征在于，所述發送模塊，還用于：

向所述第一MAC地址對應的第一終端發送所述待驗證的異常通信數據包，以使所述第一終端在所述第一MAC地址與所述待驗證MAC地址不同時，確定所述待驗證的異常通信數據包為異常通信數據包，并向所述異常通信數據包中的待驗證MAC地址對應的終端發送拒絕服務的信息。