[發明專利]一種針對ARP應答報文攻擊的檢測方法及裝置

在審

• 申請號: 201710880994.4
• 申請日: 2017-09-26
• 公開（公告）號: CN107689963A
• 公開（公告）日: 2018-02-13
• 發明（設計）人: 孫行鷺
• 申請（專利權）人: 杭州迪普科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/12
• 代理公司: 北京博思佳知識產權代理有限公司11415
• 代理人: 林祥

1.一種針對ARP應答報文攻擊的檢測方法，其特征在于，包括：

向對端網絡設備發送ARP請求報文；

響應于接收到的對端網絡設備發出的ARP應答報文，判斷所述ARP應答報文是否為對端網絡設備針對所述ARP請求報文作出的響應；

如果是，基于所述ARP應答報文生成ARP表項；

如果否，則確定所述ARP應答報文為攻擊報文。

2.根據權利要求1所述的方法，其特征在于，還包括：

當確定所述ARP應答報文為攻擊報文，從該ARP應答報文中提取報文特征；

基于提取到的報文特征生成ACL防護規則；

將所述ACL防護規則下發到底層轉發硬件。

3.根據權利要求2所述的方法，其特征在于，所述ACL防護規則對應的處理動作為丟棄；所述ACL防護規則被配置了有效時長；其中，底層轉發硬件在所述有效時長內再次接收到報文特征與所述ACL防護規則匹配的ARP應答報文時，基于所述ACL防護規則對該ARP應答報文進行丟棄處理。

4.根據權利要求1所述的方法，其特征在于，所述響應于接收到的對端網絡設備發出的ARP應答報文，判斷所述ARP應答報文是否為對端網絡設備針對所述ARP請求報文作出的響應之前，還包括：

提取發送的ARP請求報文中的目標IP地址；

在預設的目標IP地址表中創建與提取到的目標IP地址對應的表項。

5.根據權利要求4所述的方法，其特征在于，所述判斷所述ARP應答報文是否為對端網絡設備針對所述ARP請求報文作出的響應，包括：

提取所述對端網絡設備發出的ARP應答報文中的源IP地址；

在所述目標IP地址表中查找與提取到的源IP地址對應的表項；

如果在所述目標IP地址表中查找到了與所述源IP地址對應的表項時，判斷所述ARP應答報文為對端網絡設備針對所述ARP請求報文作出的響應。

6.根據權利要求4所述的方法，其特征在于，其中，所述目標IP地址表中的表項被配置了老化時長；

所述方法還包括：

在所述目標IP地址表中任一表項的老化時間內，若從ARP請求報文中提取的目標IP地址與該表項對應的目標IP地址一致，則重置該表項的老化時間；

在所述目標IP地址表中任一表項的老化時間內，若從ARP應答報文中提取的源IP地址與該表項對應的目標IP地址一致，則刪除該表項；

若所述目標IP地址表中任一表項超出老化時間，從所述目標IP地址表中刪除該表項。

7.一種針對ARP應答報文攻擊的檢測裝置，其特征在于，包括：

發送模塊，用于向對端網絡設備發送ARP請求報文；

判斷模塊，用于響應于接收到的對端網絡設備發出的ARP應答報文，判斷所述ARP應答報文是否為對端網絡設備針對所述ARP請求報文作出的響應；

生成模塊，如果所述判斷模塊得到的判斷結果為是，則用于基于所述ARP應答報文生成ARP表項；

確定模塊，如果所述判斷模塊得到的判斷結果為否，則用于確定所述ARP應答報文為攻擊報文。

8.根據權利要求7所述的裝置，其特征在于，還包括：

規則下發模塊，

用于當確定所述ARP應答報文為攻擊報文，從該ARP應答報文中提取報文特征；

基于提取到的報文特征生成ACL防護規則；

將所述ACL防護規則下發到底層轉發硬件。

9.根據權利要求8所述的裝置，其特征在于，所述ACL防護規則對應的處理動作為丟棄；所述ACL防護規則被配置了有效時長；其中，底層轉發硬件在所述有效時長內再次接收到報文特征與所述ACL防護規則匹配的ARP應答報文時，基于所述ACL防護規則對該ARP應答報文進行丟棄處理。

10.根據權利要求7所述的裝置，其特征在于，執行判斷模塊之前，還包括：

表項創建模塊，

用于提取發送的ARP請求報文中的目標IP地址；

在預設的目標IP地址表中創建與提取到的目標IP地址對應的表項。