[發明專利]一種終端網絡行為嗅探監控方法

在審

• 申請號: 202210150450.3
• 申請日: 2022-02-18
• 公開（公告）號: CN114500083A
• 公開（公告）日: 2022-05-13
• 發明（設計）人: 黃懷霖;王奇;何玨;孫萌;肖耀輝;常安;周震震;肖星;李為明;何森
• 申請（專利權）人: 中國南方電網有限責任公司超高壓輸電公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京集智東方知識產權代理有限公司 11578
• 代理人: 孫文彬

1.一種終端網絡行為嗅探監控方法，其特征在于：包括以下步驟：

Step1，在同一局域網中添加一組的監控設備和一組的蜜罐設備，所述監控設備和蜜罐設備中均安裝有監防軟件；

Step2，所述監防軟件指令監控設備的網關均設置為混雜模式，所述監防軟件指令蜜罐設備的網關均設置為非混雜模式；

Step3，所述監防軟件中存儲有記錄著所有監控設備和蜜罐設備的IP地址和MAC地址的備忘記錄表；

Step4，所述監防軟件指令監控設備和蜜罐設備之間模擬正常的聯機交流活動，同時監防軟件還會指令監控設備與同一局域網中其它用戶聯網設備之間進行正常的聯機交流活動；

Step5，所述監防軟件指令監控設備實時掃描其所處局域網中的聯網設備，并且監防軟件指令監控設備對同一局域網中所有聯網設備發送ARP請求包，并將接收到的ARP返回包中的IP地址和MAC地址記錄在第一緩存表中；

Step6，緊接上述Step5，若監防軟件檢測到局域網中有設備退出聯網時，則監防軟件將刪除第一緩存表中對應該設備的IP地址和MAC地址，若監防軟件檢測到局域網中有新的設備聯網時，則監防軟件指令監控軟件向新聯網的設備發送ARP請求包，并將該設備的ARP返回包中的IP地址和MAC地址記錄在第一緩存表中；

Step7，監防軟件指令監控設備對同一局域網中任意一臺用戶聯網設備進行一段時間的ARP劫持，并且該監控設備會將劫持到的信息重新轉發給對應的用戶聯網設備，從而實現監控設備對用戶聯網設備的聯網行為進行監控；

Step8，緊接上述Step7，監防軟件對劫持到的信息進行解密破解，從而檢測該信息中是否包含非法內容；

Step9，緊接上述Step7，當監控設備完成對用戶聯網設備的抽查后，監防軟件解除對該用戶聯網設備的ARP劫持，并且將用戶聯網設備的IP地址和MAC地址記錄在第二緩存表中；

Step10，緊接上述Step9，監防軟件指令監控設備對另一用戶聯網設備進行一段時間的ARP劫持，并且該監控設備會將劫持到的信息重新轉發給對應的用戶聯網設備，從而實現監控設備對用戶聯網設備的聯網行為進行監控。

2.根據權利要求1所述的一種終端網絡行為嗅探監控方法，其特征在于，所述監防軟件隨著終端設備的啟動而在后臺自動啟動，并且所述監防軟件的關閉需要管理員權限，并且所述監防軟件的卸載同樣需要管理員權限。

3.根據權利要求1所述的一種終端網絡行為嗅探監控方法，其特征在于，所述管理員權限是指管理秘鑰，并且所述管理秘鑰是動態的，即監防軟件會在前端隨機給出的參數和相應編號的加密算法，管理員需要向另一臺計算機（該計算機中安裝有相應的破譯軟件）中輸入相應的參數和對應編號，然后該計算機調出相應的加密算法并輸入對應的參數，然后將計算結果（即管理秘鑰）輸出至前端。

4.根據權利要求1所述的一種終端網絡行為嗅探監控方法，其特征在于，所述監控設備和蜜罐設備為計算機或智能手機；并且同一所述局域網下至少有一臺監控設備和一臺蜜罐設備。

5.根據權利要求1所述的一種終端網絡行為嗅探監控方法，其特征在于，所述Step4中正常的聯機交流活動是指兩臺設備的通信遵守ARP協議。

6.根據權利要求1所述的一種終端網絡行為嗅探監控方法，其特征在于，所述Step3中備忘記錄表中存儲的監控設備和蜜罐設備的IP地址和MAC地址均采用手工靜態綁定。

7.根據權利要求6所述的一種終端網絡行為嗅探監控方法，其特征在于，所述備忘記錄表中的IP地址和MAC地址需要管理員定期手動更改。

8.根據權利要求1所述的一種終端網絡行為嗅探監控方法，其特征在于，所述Step7中，同一用戶聯網設備在同一時間段內只能被一臺監控設備進行ARP劫持，并且所述監防軟件指令監控設備對下一臺用戶聯網設備進行ARP劫持之前，監防軟件會在該監控設備中的第二緩存表中進行檢索比對，從而防止連續對同一臺用戶聯網設備進行ARP劫持。