[發(fā)明專利]一種針對(duì)ARP攻擊的管控方法及系統(tǒng)

在審

• 申請(qǐng)?zhí)枺?/td>: 201710187840.7
• 申請(qǐng)日: 2017-03-27
• 公開（公告）號(hào): CN106888217A
• 公開（公告）日: 2017-06-23
• 發(fā)明（設(shè)計(jì)）人: 程如亮
• 申請(qǐng)（專利權(quán)）人: 上海斐訊數(shù)據(jù)通信技術(shù)有限公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L29/12
• 代理公司: 上海碩力知識(shí)產(chǎn)權(quán)代理事務(wù)所31251
• 代理人: 郭桂峰

1.一種針對(duì)ARP攻擊的管控方法，其特征在于，包括：

接收預(yù)設(shè)網(wǎng)絡(luò)節(jié)點(diǎn)發(fā)來的ARP報(bào)文，所述ARP報(bào)文包括MAC地址、IP地址以及端口號(hào)之間的當(dāng)前映射關(guān)系；

讀取本地存儲(chǔ)的映射關(guān)系表，所述映射關(guān)系表中記錄有MAC地址、IP地址以及端口號(hào)之間的標(biāo)準(zhǔn)映射關(guān)系；

如果所述ARP報(bào)文的當(dāng)前映射關(guān)系與所述映射關(guān)系表的標(biāo)準(zhǔn)映射關(guān)系不匹配，對(duì)所述預(yù)設(shè)網(wǎng)絡(luò)節(jié)點(diǎn)發(fā)送的ARP報(bào)文流量進(jìn)行監(jiān)控，當(dāng)所述ARP報(bào)文流量異常時(shí)，限制所述預(yù)設(shè)網(wǎng)絡(luò)節(jié)點(diǎn)發(fā)送報(bào)文的流量或者隔離所述預(yù)設(shè)網(wǎng)絡(luò)節(jié)點(diǎn)的端口。

2.根據(jù)權(quán)利要求1所述的針對(duì)ARP攻擊的管控方法，其特征在于，所述當(dāng)前映射關(guān)系和所述標(biāo)準(zhǔn)映射關(guān)系均包括：

MAC地址與IP地址之間的映射關(guān)系；

MAC地址與端口號(hào)之間的映射關(guān)系；以及

IP地址與端口號(hào)之間的映射關(guān)系。

3.根據(jù)權(quán)利要求2所述的針對(duì)ARP攻擊的管控方法，其特征在于，所述ARP報(bào)文的當(dāng)前映射關(guān)系與所述映射關(guān)系表的標(biāo)準(zhǔn)映射關(guān)系不匹配，包括：

所述當(dāng)前映射關(guān)系與所述標(biāo)準(zhǔn)映射關(guān)系中至少有一對(duì)映射關(guān)系不同。

4.根據(jù)權(quán)利要求1所述的針對(duì)ARP攻擊的管控方法，其特征在于，對(duì)所述預(yù)設(shè)網(wǎng)絡(luò)節(jié)點(diǎn)發(fā)送的ARP報(bào)文流量進(jìn)行監(jiān)控，包括：

對(duì)所述預(yù)設(shè)網(wǎng)絡(luò)節(jié)點(diǎn)發(fā)送的報(bào)文進(jìn)行識(shí)別，以從中獲取ARP報(bào)文；

在預(yù)設(shè)時(shí)長內(nèi)統(tǒng)計(jì)獲取的ARP報(bào)文的流量，并將統(tǒng)計(jì)的流量分別與第一流量閾值以及第二流量閾值進(jìn)行比對(duì)；其中，所述第一流量閾值小于所述第二流量閾值；

根據(jù)比對(duì)結(jié)果，判斷所述預(yù)設(shè)網(wǎng)絡(luò)節(jié)點(diǎn)發(fā)送的ARP報(bào)文流量是否異常。

5.根據(jù)權(quán)利要求4所述的針對(duì)ARP攻擊的管控方法，其特征在于，判斷所述預(yù)設(shè)網(wǎng)絡(luò)節(jié)點(diǎn)發(fā)送的ARP報(bào)文流量是否異常，包括：

當(dāng)所述統(tǒng)計(jì)的流量大于所述第一流量閾值和所述第二流量閾值中的任意一個(gè)時(shí)，判定所述預(yù)設(shè)網(wǎng)絡(luò)節(jié)點(diǎn)發(fā)送的ARP報(bào)文流量存在異常；

當(dāng)所述統(tǒng)計(jì)的流量小于或者等于所述第一流量閾值時(shí)，判定所述預(yù)設(shè)網(wǎng)絡(luò)節(jié)點(diǎn)發(fā)送的ARP報(bào)文流量正常。

6.根據(jù)權(quán)利要求5所述的針對(duì)ARP攻擊的管控方法，其特征在于，所述方法還包括：

當(dāng)所述統(tǒng)計(jì)的流量大于所述第一流量閾值并且小于所述第二流量閾值時(shí)，將超出所述第一流量閾值的ARP報(bào)文丟棄。

7.根據(jù)權(quán)利要求5所述的針對(duì)ARP攻擊的管控方法，其特征在于，所述方法還包括：

當(dāng)所述統(tǒng)計(jì)的流量大于或者等于所述第二流量閾值時(shí)，將所述預(yù)設(shè)網(wǎng)絡(luò)節(jié)點(diǎn)的端口隔離。

8.一種針對(duì)ARP攻擊的管控系統(tǒng)，其特征在于，所述系統(tǒng)包括：

ARP報(bào)文接收單元，用于接收預(yù)設(shè)網(wǎng)絡(luò)節(jié)點(diǎn)發(fā)來的ARP報(bào)文，所述ARP報(bào)文包括MAC地址、IP地址以及端口號(hào)之間的當(dāng)前映射關(guān)系；

本地映射關(guān)系表讀取單元，用于讀取本地存儲(chǔ)的映射關(guān)系表，所述映射關(guān)系表中記錄有MAC地址、IP地址以及端口號(hào)之間的標(biāo)準(zhǔn)映射關(guān)系；

映射關(guān)系判斷單元，用于判斷所述ARP報(bào)文的當(dāng)前映射關(guān)系是否與所述映射關(guān)系表的標(biāo)準(zhǔn)映射關(guān)系相匹配；

流量監(jiān)控單元，用于若不匹配，對(duì)所述預(yù)設(shè)網(wǎng)絡(luò)節(jié)點(diǎn)發(fā)送的ARP報(bào)文流量進(jìn)行監(jiān)控，當(dāng)所述ARP報(bào)文流量異常時(shí)，限制所述預(yù)設(shè)網(wǎng)絡(luò)節(jié)點(diǎn)發(fā)送報(bào)文的流量或者隔離所述預(yù)設(shè)網(wǎng)絡(luò)節(jié)點(diǎn)的端口。

9.根據(jù)權(quán)利要求8所述的針對(duì)ARP攻擊的管控系統(tǒng)，其特征在于，所述流量監(jiān)控單元包括：

報(bào)文識(shí)別模塊，用于對(duì)所述預(yù)設(shè)網(wǎng)絡(luò)節(jié)點(diǎn)發(fā)送的報(bào)文進(jìn)行識(shí)別，以從中獲取ARP報(bào)文；

流量比對(duì)模塊，用于在預(yù)設(shè)時(shí)長內(nèi)統(tǒng)計(jì)獲取的ARP報(bào)文的流量，并將統(tǒng)計(jì)的流量分別與第一流量閾值以及第二流量閾值進(jìn)行比對(duì)；其中，所述第一流量閾值小于所述第二流量閾值；

判斷模塊，用于根據(jù)比對(duì)結(jié)果，判斷所述預(yù)設(shè)網(wǎng)絡(luò)節(jié)點(diǎn)發(fā)送的ARP報(bào)文流量是否異常。

10.根據(jù)權(quán)利要求9所述的針對(duì)ARP攻擊的管控系統(tǒng)，其特征在于，所述判斷模塊包括：

第一判定模塊，用于當(dāng)所述統(tǒng)計(jì)的流量大于所述第一流量閾值和所述第二流量閾值中的任意一個(gè)時(shí)，判定所述預(yù)設(shè)網(wǎng)絡(luò)節(jié)點(diǎn)發(fā)送的ARP報(bào)文流量存在異常；

第二判定模塊，用于當(dāng)所述統(tǒng)計(jì)的流量小于或者等于所述第一流量閾值時(shí)，判定所述預(yù)設(shè)網(wǎng)絡(luò)節(jié)點(diǎn)發(fā)送的ARP報(bào)文流量正常。