[發(fā)明專利]一種局域網(wǎng)內(nèi)部攻擊源的自動(dòng)定位、隔離方法

在審

• 申請(qǐng)?zhí)枺?/td>: 201710317020.5
• 申請(qǐng)日: 2017-05-08
• 公開（公告）號(hào): CN107222462A
• 公開（公告）日: 2017-09-29
• 發(fā)明（設(shè)計(jì)）人: 吉杰;林洽欣;張培煒;姚佑川
• 申請(qǐng)（專利權(quán)）人: 汕頭大學(xué)
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L29/12
• 代理公司: 廣州三環(huán)專利商標(biāo)代理有限公司44202
• 代理人: 張澤思,周增元

1.一種局域網(wǎng)內(nèi)部攻擊源的自動(dòng)定位、隔離方法，其特征在于，包括：

采集網(wǎng)絡(luò)設(shè)備的數(shù)據(jù)并保存到數(shù)據(jù)庫的步驟，根據(jù)攻擊者的IP地址定位MAC地址的步驟，根據(jù)MAC地址定位交換機(jī)端口的步驟，操作接入交換機(jī)以隔離攻擊源的步驟。

2.根據(jù)權(quán)利要求1所述的一種局域網(wǎng)內(nèi)部攻擊源的自動(dòng)定位、隔離方法，其特征在于，所述根據(jù)攻擊者的IP地址定位MAC地址的步驟還包括處理一個(gè)IP地址對(duì)應(yīng)多個(gè)MAC地址的步驟：通過分析一個(gè)MAC地址對(duì)應(yīng)多個(gè)不同IP地址來檢測(cè)假冒主機(jī)的ARP欺騙，如果存在假冒主機(jī)的ARP欺騙并且有假冒該IP地址則將IP對(duì)應(yīng)到ARP欺騙者的MAC地址，如果不存在假冒主機(jī)的ARP欺騙，對(duì)于IP地址正常切換所導(dǎo)致的一個(gè)IP在不同時(shí)刻對(duì)應(yīng)不同MAC的情況，通過匹配局域網(wǎng)攻擊發(fā)生的時(shí)間和ARP表中IP-MAC條目的時(shí)間戳，將IP對(duì)應(yīng)到一個(gè)MAC地址，對(duì)于在IP地址切換過程中ARP表過期時(shí)間內(nèi)會(huì)出現(xiàn)新老IP-MAC條目同時(shí)出現(xiàn)的情況，通過依次匹配多個(gè)時(shí)間點(diǎn)的數(shù)據(jù)，等待網(wǎng)絡(luò)設(shè)備舊的ARP表?xiàng)l目過期并且數(shù)據(jù)采集程序更新數(shù)據(jù)后，將IP對(duì)應(yīng)到一個(gè)MAC地址。

3.根據(jù)權(quán)利要求2所述的一種局域網(wǎng)內(nèi)部攻擊源的自動(dòng)定位、隔離方法，其特征在于，所述根據(jù)MAC地址定位交換機(jī)端口的步驟還包括：首先過濾掉交換機(jī)的級(jí)聯(lián)口，對(duì)于端口正常切換所導(dǎo)致一個(gè)MAC在不同時(shí)刻對(duì)應(yīng)不同的接入交換機(jī)端口的情況，通過匹配局域網(wǎng)攻擊發(fā)生的時(shí)間和MAC地址表中MAC-交換機(jī)端口條目的時(shí)間戳，將MAC地址對(duì)應(yīng)到一個(gè)接入交換機(jī)端口，對(duì)于在網(wǎng)絡(luò)端口切換過程中MAC地址表過期時(shí)間內(nèi)會(huì)出現(xiàn)新老MAC-交換機(jī)端口條目同時(shí)出現(xiàn)的情況，通過依次匹配多個(gè)時(shí)間點(diǎn)的數(shù)據(jù)，等待網(wǎng)絡(luò)設(shè)備舊的MAC地址表?xiàng)l目過期并且數(shù)據(jù)采集程序更新數(shù)據(jù)后，將MAC對(duì)應(yīng)到一個(gè)交換機(jī)端口。

4. 根據(jù)權(quán)利要求3所述的一種局域網(wǎng)內(nèi)部攻擊源的自動(dòng)定位、隔離方法，其特征在于，所述操作接入交換機(jī)以隔離攻擊源的步驟包括根據(jù)預(yù)先設(shè)置的管理策略選擇采取物理隔離或者邏輯隔離，然后使用SNMP SET操作接入交換機(jī)設(shè)置相應(yīng)OID的值實(shí)現(xiàn)隔離操作，所述物理隔離為關(guān)閉交換機(jī)端口，所屬邏輯隔離為將交換機(jī)端口設(shè)置成某一個(gè)隔離的VLAN。