RU2686023C1 - Method of protecting computer networks - Google Patents

Method of protecting computer networks Download PDF

Info

Publication number
RU2686023C1
RU2686023C1 RU2018120288A RU2018120288A RU2686023C1 RU 2686023 C1 RU2686023 C1 RU 2686023C1 RU 2018120288 A RU2018120288 A RU 2018120288A RU 2018120288 A RU2018120288 A RU 2018120288A RU 2686023 C1 RU2686023 C1 RU 2686023C1
Authority
RU
Russia
Prior art keywords
network
addresses
address
mac
computer network
Prior art date
Application number
RU2018120288A
Other languages
Russian (ru)
Inventor
Алексей Леонидович Гаврилов
Сергей Леонидович Катунцев
Роман Викторович Максимов
Дмитрий Николаевич Орехов
Вячеслав Петрович Пряхин
Дмитрий Валерьевич Тимашенко
Сергей Петрович Соколовский
Владимир Константинович Тимашенко
Original Assignee
Федеральное государственное казенное военное образовательное учреждение высшего образования "Краснодарское высшее военное училище имени генерала армии С.М. Штеменко"
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Федеральное государственное казенное военное образовательное учреждение высшего образования "Краснодарское высшее военное училище имени генерала армии С.М. Штеменко" filed Critical Федеральное государственное казенное военное образовательное учреждение высшего образования "Краснодарское высшее военное училище имени генерала армии С.М. Штеменко"
Priority to RU2018120288A priority Critical patent/RU2686023C1/en
Application granted granted Critical
Publication of RU2686023C1 publication Critical patent/RU2686023C1/en

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1491—Countermeasures against malicious traffic using deception as countermeasure, e.g. honeypots, honeynets, decoys or entrapment

Abstract

FIELD: computer equipment.SUBSTANCE: invention relates to security of computer networks. Disclosed is a method of protecting computer networks, in which generating and sending to recipients who sent ARP-requests, response packets messages with false MAC-addresses and false port numbers.EFFECT: high efficiency of protection and misleading an intruder relative to the structure of the computer network.6 cl, 6 dwg

Description

Изобретение относится к электросвязи и может быть использовано в системах обнаружения атак с целью оперативного выявления и противодействия несанкционированным воздействиям в вычислительных сетях, в частности, в сети передачи данных типа «Internet», основанных на семействе коммуникационных протоколов TCP/IP {Transmission Control Protocol / Internet Protocol) и описанных в книге Олифер В., Олифер Н. Компьютерные Сети. Принципы, технологии, протоколы: Учебник для вузов. 5-е изд. - СПб.: Питер, 2016. - 992 с.: ил.The invention relates to telecommunications and can be used in attack detection systems to quickly detect and counter unauthorized impacts in computer networks, in particular, in the data network of the "Internet" type, based on the family of communication protocols TCP / IP {Transmission Control Protocol / Internet Protocol) and described in the book by Olifer V., Olifer N. Computer Networks. Principles, technologies, protocols: Textbook for universities. 5th ed. - SPb .: Peter, 2016. - 992 pp., Ill.

Известен «Способ защиты вычислительной сети» по патенту РФ №2422892, класс G06F 21/20 (2006.01), заявл. 13.04.2010. Известный способ включает следующую последовательность действий. Устанавливают в каналах связи защищаемой вычислительной сети шлюз-компьютер с межсетевым экраном. Формируют базу параметров легитимных пакетов и блокируют поступающие из открытой сети пакеты на период установления легитимности. Запоминают адрес получателя, анализируют поступающие из открытой сети пакеты, для чего сравнивают их параметры с заранее сформированной базой параметров легитимных пакетов. После завершения анализа формируют ICMP квитанцию, в которой адрес отправителя заменяют на ранее запомненный адрес получателя. Отправляют ее нелегитимному отправителю.Known "Method of protecting a computer network" for the patent of the Russian Federation No. 2422892, class G06F 21/20 (2006.01), Appl. 04/13/2010. The known method includes the following sequence of actions. A gateway computer with a firewall is installed in the communication channels of the protected computer network. They form the base of parameters for legitimate packets and block packets coming from an open network for the period of establishing legitimacy. They remember the recipient's address, analyze packets coming from an open network, for which they compare their parameters with a pre-formed base of legitimate packet parameters. After the analysis is completed, an ICMP receipt is generated in which the sender's address is replaced with the previously stored recipient address. Send it to an illegitimate sender.

Недостатком данного способа является относительно низкая защищенность от несанкционированных воздействий, признаками наличия которых являются несанкционированные информационные потоки (ИП). Это обусловлено тем, что при определении факта наличия несанкционированного ИП в вычислительных сетях блокируется передача пакета сообщений, что является недостаточным для защиты вычислительных сетей от несанкционированных воздействий. Реализация указанного подхода к защите вынуждает нарушителя далее воздействовать на вычислительные сети и (или) менять стратегию воздействия.The disadvantage of this method is the relatively low security from unauthorized impacts, signs of the presence of which are unauthorized information flows (PI). This is due to the fact that when determining the presence of unauthorized IP in computer networks, the transmission of a message packet is blocked, which is insufficient to protect computer networks from unauthorized impacts. The implementation of this approach to protection forces the intruder to further influence the computer networks and (or) change the impact strategy.

Известен «Способ (варианты) защиты вычислительных сетей» по патенту РФ №2307392, класс G06F 21/00, опубл. 27.09.2007. Известный способ включает следующую последовательность действий. Предварительно задают N≥1 опорных идентификаторов санкционированных ИП, содержащих адреса отправителей и получателей пакетов сообщений, принимают из канала связи пакет сообщений, выделяют из заголовка принятого пакета сообщений идентификатор ИП, сравнивают выделенный идентификатор с предварительно заданными опорными идентификаторами санкционированных ИП и при их совпадении передают пакет сообщений получателю, а при их несовпадении сравнивают адрес отправителя, указанный в идентификаторе принятого пакета сообщений с адресами отправителей, указанными в опорных идентификаторах санкционированных ИП, задают Р≥1 ложных адресов абонентов вычислительной сети и время задержки отправки пакетов сообщений tзад. В случае совпадения адреса отправителя в принятом пакете сообщений с одним из адресов отправителей опорных идентификаторов санкционированных ИП сравнивают адрес получателя в принятом пакете сообщений с адресами получателей опорных идентификаторов санкционированных ИП. При несовпадении адреса получателя в принятом пакете сообщений с адресами получателей опорных идентификаторов санкционированных ИП дополнительно сравнивают адрес получателя в принятом пакете сообщений с предварительно заданными ложными адресами абонентов вычислительной сети. В случае несовпадения адреса получателя в принятом пакете сообщений с предварительно заданными ложными адресами абонентов блокируют передачу пакета сообщений. А при несовпадении адреса отправителя в принятом пакете сообщений с одним из адресов отправителей опорных идентификаторов санкционированных ИП или совпадении адреса получателя в принятом пакете сообщений с адресами получателей опорных идентификаторов санкционированных ИП, или его совпадении с предварительно заданными ложными адресами абонентов вычислительной сети формируют ответный пакет сообщений, а затем, через заданное время задержки отправки пакетов сообщений tзад снижают скорость передачи сформированного пакета сообщений. Передают его отправителю, после чего принимают из канала связи очередной пакет сообщений. Для идентификации протокола взаимодействия выделяют идентификатор типа протокола взаимодействия и сравнивают его с эталонами идентификаторов типа протокола взаимодействия. Для снижения скорости передачи сформированного пакета сообщений фрагментируют пакет сообщений, передают пакет сообщений через заданное время задержки отправки пакетов сообщений tзад.Known "Method (options) for the protection of computer networks" for the patent of the Russian Federation No. 2307392, class G06F 21/00, publ. September 27, 2007. The known method includes the following sequence of actions. Pre-set N≥1 reference identifiers of the authorized IPs containing the senders and recipients of message packets, receive a packet of messages from the communication channel, extract the identifier of the IP from the header of the received message packet, compare the selected identifier with the predefined reference identifiers of the authorized IP and, if they match, send the package messages to the recipient, and if they do not match, the sender's address specified in the identifier of the received message packet is compared with the addresses sent The subscribers specified in the reference identifiers of the authorized entrepreneurships specify P≥1 false addresses of the subscribers of the computer network and the delay time for sending packets of messages t ass . If the sender's address in the received message packet matches one of the sender addresses of the reference identifiers of the authorized IPs, the address of the recipient in the received message packet is compared with the addresses of the recipients of the reference identifiers of the authorized IP. If the recipient address in the received message packet does not match the recipient addresses of the reference identifiers of the authorized IPs, the recipient address in the received message packet is compared with the predefined false addresses of the subscribers of the computer network. In case of a mismatch of the recipient's address in the received message packet with the pre-specified false addresses of subscribers, the transmission of the message packet is blocked. And if the sender's address in the received message packet does not match with one of the sender addresses of the reference identifiers of the authorized IP or the address of the recipient in the received message packet coincides with the recipient addresses of the reference identifiers of the authorized IP, or if it coincides with the previously specified false addresses of the subscribers of the computer network, a response message packet is generated and then, after a predetermined delay time of sending bursts of messages t ass, reduce the transmission rate of the generated batch of messages. Transmit it to the sender, and then receive the next batch of messages from the communication channel. To identify the interaction protocol, an identifier of the interaction protocol type is extracted and compared with the standards of the interaction protocol type identifiers. To reduce the transmission rate of the generated message packet, a message packet is fragmented, and a message packet is transmitted after a specified delay in sending message packets t ass .

Недостатками данного способа являются относительно низкая результативность защиты вычислительных сетей и узкая область применения способа защиты. Низкая результативность защиты обусловлена тем, что в прототипе увеличение интенсивности несанкционированных информационных потоков и сохранение заданного времени задержки отправки ответных пакетов сообщений отправителю приведет к перегрузке вычислительной сети. Узкая область применения обусловлена тем, что для реализации способа защиты скорость информационного обмена с отправителем несанкционированных информационных потоков снижают только со стороны вычислительной сети, то есть в одностороннем порядке, и не учитывают возможность отправителя разорвать соединение.The disadvantages of this method are the relatively low performance of the protection of computer networks and the narrow scope of the method of protection. The low effectiveness of the protection is due to the fact that in the prototype an increase in the intensity of unauthorized information flows and the preservation of a predetermined delay time for sending response packets to the sender will lead to an overload of the computer network. The narrow scope is due to the fact that to implement the method of protection, the speed of information exchange with the sender of unauthorized information flows is reduced only by the computer network, that is, unilaterally, and does not take into account the sender’s ability to disconnect.

Наиболее близким по своей технической сущности к заявленному, является способ защиты вычислительных сетей, описанный, например, в книге Grimes, R.A. Honeypots for Windows // Apress. 2005. 424 p. на стр. 191-192. Известный способ включает следующую последовательность действий. Подключают сетевые устройства к вычислительной сети. После приема ARP-запросов (от англ. Address Resolution Protocol - протокол определения адреса) к i-ому неиспользуемому IP-адресу сетевого устройства вычислительной сети формируют ответный пакет сообщений с единственным и неизменяемым значением (00:00:0F:FF:FF:FF)16 (в шестнадцатеричной системе счисления) МАС-адреса (от англ. Media Access Control - управление доступом к среде). Затем записывают в поле «размер окна» ТСР-заголовка ответного пакета сообщений значение Wнач равное десяти байтам и принимают очередной пакет сообщений. Формируют ответный пакет сообщений и устанавливают в поле «размер окна» ТСР-заголовка ответного пакета сообщений значение Wyд равное нулю байт. После этого направляют отправителю сформированные ответные пакеты сообщений, а для блокирования попыток разорвать соединение со стороны отправителя пакетов сообщений игнорируют все входящие пакеты сообщений до истечения тайм-аута соединения.The closest in technical essence to the claimed, is a way to protect computer networks, described, for example, in the book Grimes, RA Honeypots for Windows // Apress. 2005 424 p. on pp. 191-192. The known method includes the following sequence of actions. Connect network devices to a computer network. After receiving ARP requests (from the English Address Resolution Protocol) to the i-th unused IP address of the network device of the computer network, a response message packet is generated with a single and unchangeable value (00: 00: 0F: FF: FF: FF ) 16 (in hexadecimal notation) MAC addresses (from the English Media Access Control - media access control). Then write down in the "window size" field of the TCP header of the response message packet the value of W beginning is equal to ten bytes and receive the next message packet. Form the response packet of messages and set in the "window size" field of the TCP header of the response packet of messages the value W yd equal to zero bytes. After that, sent reply message packets are sent to the sender, and to block attempts to terminate the connection from the sender of the message packets, all incoming message packets are ignored until the connection timeout expires.

Известный способ-прототип обеспечивает более высокую защищенность вычислительных сетей от несанкционированных воздействий по сравнению с аналогами за счет введения в заблуждение нарушителя относительно структуры вычислительных сетей путем имитации доступности всего массива IP-адресов вычислительной сети, обеспечивая тем самым максимальную вероятность перенаправления нарушителя на ресурс-ловушку, и за счет удержания в двухстороннем порядке соединения с отправителем пакетов сообщений, обеспечивая тем самым увеличение дискомфорта у нарушителя и выигрыш по времени, необходимый для реализации ответных мер.The known prototype method provides higher security of computer networks against unauthorized impacts compared with counterparts due to misleading the offender regarding the structure of computer networks by simulating the availability of the entire array of IP addresses of the computer network, thereby ensuring the maximum likelihood of redirecting the offender to the trap resource, and by retaining in two-way communication with the sender of the message packets, thereby increasing discomfort the offender and the gain on the time needed to implement responses.

Недостатком способа-прототипа является относительно низкая результативность защиты, обусловленная высокой вероятностью обнаружения нарушителем факта использования средств защиты вычислительной сети и идентификации их характеристик. Это связано с тем, что в прототипе, при обращении к любому IP-адресу из диапазона IP-адресов вычислительной сети, нарушитель всегда получает ответ о доступности IP-адреса и всех его портов, что демаскирует наличие и возможности средств защиты. Кроме того, при ответах на ARP-запросы к i-ому неиспользуемому IP-адресу сетевого устройства вычислительной сети в прототипе используют единственное и неизменяемое значение (00:00:0F:FF:FF:FF)16 (в шестнадцатеричной системе счисления) МАС-адреса независимо от реального адреса сетевого адаптера, что позволяет злоумышленнику идентифицировать ложные узлы путем изучения адресов канального уровня.The disadvantage of the prototype method is the relatively low performance of protection due to the high probability of detection by the violator of the fact of using computer network protection tools and identifying their characteristics. This is due to the fact that in the prototype, when accessing any IP address from the range of IP addresses of the computer network, the intruder always receives a response about the availability of the IP address and all its ports, which unmasks the availability and capabilities of the security features. In addition, when answering ARP requests to the i-th unused IP address of the network device of the computer network, the prototype uses a single and unchangeable value (00: 00: 0F: FF: FF: FF) 16 (in hexadecimal number system) addresses regardless of the real address of the network adapter, which allows an attacker to identify false nodes by examining the data link layer addresses.

Целью заявленного технического решения является разработка способа защиты вычислительных сетей, обеспечивающего повышение результативности защиты и введение в заблуждение нарушителя относительно структуры вычислительной сети, за счет снижения вероятности обнаружения нарушителем факта использования средств защиты и идентификации их характеристик, достигаемых путем разделения адресного пространства вычислительной сети и пространства портов на области, обеспечивающие реалистичность функционирования защищаемой вычислительной сети, а также путем формирования множества случайных значений МАС-адресов, соответствующих ложным узлам вычислительной сети.The purpose of the claimed technical solution is to develop a method of protecting computer networks, providing increased effectiveness of protection and misleading the intruder regarding the structure of the computer network, by reducing the likelihood of the violator detecting the fact of using protection tools and identifying their characteristics achieved by separating the address space of the computer network and port space on the areas that ensure the realistic functioning of the protected computing system and also by forming a set of random values of MAC addresses corresponding to false nodes of the computer network.

Поставленная цель достигается тем, что в известном способе защиты вычислительных сетей подключают сетевые устройства к вычислительной сети и после приема ARP-запросов к i-ому неиспользуемому IP-адресу сетевого устройства вычислительной сети формируют ответный пакет сообщений. Затем записывают в поле «размер окна» ТСР-заголовка ответного пакета сообщений значение Wнач равное десяти байтам. После этого принимают очередной пакет сообщений и формируют ответный пакет сообщений. Далее устанавливают в поле «размер окна» ТСР-заголовка ответного пакета сообщений значение Wуд равное нулю байт и направляют отправителю сформированные ответные пакеты сообщений. Для блокирования попыток разорвать соединение со стороны отправителя пакетов сообщений игнорируют все входящие пакеты сообщений до истечения тайм-аута соединения. В предварительно заданные исходные данные дополнительно задают множество {MIP} всех i IP-адресов сетевых устройств вычислительной сети, где i=1, 2, …, n, а n - максимально допустимое значение диапазона IP-адресов для вычислительной сети, множество {AIP} разрешенных для использования в вычислительной сети IP-адресов сетевых устройств, где {AIP}∈{MIP}, множество {DIP} запрещенных для использования в вычислительной сети IP-адресов сетевых устройств, где {DIP}={MIP \ AIP}={DIP ∈ MIP ∧ DIP ∉ AIP}, множество {UIp} разрешенных и временно неподключенных IP-адресов сетевых устройств в вычислительной сети из множества {AIP} и множество {RIP} разрешенных и подключенных IP-адресов сетевых устройств в вычислительной сети из множества {AIP}, где {UIP}={AIP \ RIP}={UIP ∈ AIP ∧ UIP ∉ RIP} и {RIP}={AIP \ UIP}={RIP ∈ AIP ∧ RIP ∉ UIP}. Затем предварительно задают массив памяти SMAC для хранения считанных МАС-адресов сетевых устройств в вычислительной сети, массив памяти GMAC для хранения сформированных МАС-адресов и массив памяти AG для хранения матрицы соответствия i-му разрешенному для использования в вычислительной сети IP-адресу сетевого устройства из множества {AIP} j-го сформированного МАС-адреса из массива памяти GMAC. Далее предварительно задают множество {Р}={1i, 2i, … Pi} разрешенных для использования программным обеспечением Р номеров портов i IP-адресов сетевых устройств вычислительной сети, а также двумерный массив памяти S для хранения считанных Р разрешенных для использования программным обеспечением номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети. Задают множество {H}={1i, 2i, … Hi} запрещенных для использования программным обеспечением Н номеров портов i-х сетевых устройств вычислительной сети и двумерный массив памяти V для хранения Н запрещенных для использования программным обеспечением номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети. После этого задают множество {F} = {1i, 2i, … Fi} ложных F номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети из множества {UIP}, а также двумерный массив памяти L для хранения F ложных номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети из множества {UIP}. После подключения сетевых устройств к вычислительной сети считывают Р разрешенных для использования программным обеспечением номеров портов i-x IP-адресов сетевых устройств вычислительной сети и запоминают Р разрешенных для использования программным обеспечением номеров портов i-x IP-адресов сетевых устройств вычислительной сети в двумерном массиве памяти S. Затем запоминают IP-адреса временно неподключенных сетевых устройств в множество {UIP}. После этого формируют F ложных номеров портов для каждого i-го IP-адреса из множества {UIP}, для чего считывают из двумерного массива памяти S номера разрешенных для использования программным обеспечением номеров портов для i-x IP-адресов сетевых устройств вычислительной сети из множества { UIP) и запоминают считанные разрешенные для использования программным обеспечением номера портов для i-х IP-адресов сетевых устройств вычислительной сети из множества {UIP} в двумерном массиве памяти L. Далее считывают МАС-адреса подключенных сетевых устройств вычислительной сети и запоминают их в массиве памяти SMAC. Затем генерируют случайную последовательность шестнадцатеричных чисел и формируют из нее J значений, где J=1, 2, …, j, МАС-адресов временно неподключенных сетевых устройств вычислительной сети. После этого запоминают сформированные J значений МАС-адресов временно неподключенных сетевых устройств вычислительной сети в массиве памяти GMAC и сравнивают сформированные J значений МАС-адресов временно неподключенных сетевых устройств вычислительной сети из массива памяти GMAC с МАС-адресами временно неподключенных сетевых устройств вычислительной сети из массива памяти SMAC. По результатам сравнения, в случае их совпадения, j-й МАС-адрес удаляют из массива памяти GMAC, а в противном случае, то есть при их несовпадении, запоминают в массиве памяти AG соответствие i-му разрешенному для использования в вычислительной сети IP-адресу сетевого устройства из множества {AIP} j-го сформированного МАС-адреса из массива памяти GMAC. После этого принимают ARP-запрос к любому i-му IP-адресу сетевого устройства из множества {MIP} и сравнивают IP-адрес получателя ARP-запроса с IP-адресами сетевых устройств из множества {DIP} запрещенных для использования в вычислительной сети IP-адресов сетевых устройств. По результатам сравнения, в случае совпадения IP-адреса получателя ARP-запроса с IP-адресами из множества {DIP} запрещенных для использования в вычислительной сети IP-адресов сетевых устройств, игнорируют ARP-запрос. В противном случае, то есть при несовпадении IP-адреса получателя ARP-запроса с IP-адресами из множества {DIP}, сравнивают IP-адрес получателя ARP-запроса с IP-адресами сетевых устройств из множества {RIP} разрешенных и подключенных IP-адресов сетевых устройств, и по результатам сравнения в случае совпадения IP-адреса получателя ARP-запроса с IP-адресами из множества {RIP} разрешенных и подключенных IP-адресов формируют сообщение о доступности узла получателя пакетов сообщений. В противном случае, то есть при несовпадении IP-адреса получателя ARP-запроса с IP-адресами из множества {RIP}, сравнивают IP-адрес получателя ARP-запроса с IP-адресами сетевых устройств из множества временно неподключенных IP-адресов, и по результатам сравнения в случае несовпадения IP-адреса получателяThis goal is achieved by the fact that in a known method of protecting computer networks, network devices are connected to a computer network and after receiving ARP requests to the i-th unused IP address of the network device of the computer network, they form a response packet of messages. Then write in the "window size" field of the TCP header of the response message packet, the value of W beginning is equal to ten bytes. After that, they receive the next batch of messages and form a response batch of messages. Next, in the "window size" field of the TCP header of the response message packet, the value of W beats equals zero bytes and sends the generated message response packets to the sender. To block attempts to break a connection from the sender of the message packets, ignore all incoming message packets before the connection timeout expires. In the predefined initial data, the set {M IP } of all i IP addresses of network devices of the computer network is additionally specified, where i = 1, 2, ..., n, and n is the maximum allowable value of the range of IP addresses for the computer network, the set {A IP } IP addresses of network devices allowed for use in a computer network, where {A IP } ∈ {M IP }, set {D IP } of IP addresses of network devices forbidden for use in a computer network, where {D IP } = {M IP \ A IP} = {D IP ∈ M IP ∧ D IP ∉ A IP}, the set {U I p} allowed and temporarily unconnected IP-address of the network devices in the computer network of a plurality of {A IP} and the set {R IP} allowed and connected IP-addresses of network devices on a computer network of a plurality of {A IP}, wherein {U IP} = {A IP \ R IP} = {U IP ∈ A IP ∧ U IP ∉ R IP } and {R IP } = {A IP \ U IP } = {R IP ∈ A IP R IP ∉ U IP }. Then preset the memory array S MAC for storing the read MAC addresses of network devices in the computer network, the memory array G MAC for storing the generated MAC addresses and the memory array AG for storing the matrix of the i-th IP address allowed for use in the computer network devices from the set {A IP } of the j-th formed MAC address from the memory array G MAC . Next, the set {P} = {1i, 2i, ... Pi} allowed by the software P port numbers i IP addresses of network devices of the computer network, as well as a two-dimensional memory array S for storing the read P software numbers allowed by the software used by each i-th IP address of network devices of the computer network. Set the set {H} = {1i, 2i, ... Hi} forbidden for use by the software N port numbers of the i-th network devices of the computer network and a two-dimensional memory array V for storing N forbidden for use by the software port numbers used by each i-th The IP address of the network's network devices. After that, the set {F} = {1i, 2i, ... Fi} of false F port numbers used by each i-th IP address of network devices of the computer network from the set {U IP } is specified, as well as a two-dimensional memory array L for storing F false port numbers used by each i-th IP address of network devices of the computer network from the set {U IP }. After connecting the network devices to the computer network, read the P allowed by the software port numbers ix of the IP addresses of the network devices of the computer network and memorize the P allowed by the software numbers of the port ix IP addresses of the network devices of the computer network in the two-dimensional memory array S. IP addresses of temporarily unconnected network devices in the set {U IP }. After that, F false port numbers are formed for each i-th IP address from the set {U IP }, for which the numbers of the port numbers allowed for use by the software for ix IP addresses of network devices of the computer network from the set { U IP) and storing a few permitted to use the software port numbers for x i-IP-addresses of network devices of the plurality of computer network {U IP} in the two-dimensional memory array L. Next read MAC addresses of the connected network ustroyst computer network and storing them in memory S MAC array. Then a random sequence of hexadecimal numbers is generated and J values are formed from it, where J = 1, 2, ..., j, MAC addresses of temporarily unconnected network devices of the computer network. After that, the generated J values of the MAC addresses of temporarily unconnected network devices of the computer network are stored in the memory array G MAC and the generated J values of the MAC addresses of temporarily unconnected network devices of the network are stored from the memory array G MAC with the MAC addresses of the temporarily unconnected network devices of the network memory array s mac . According to the results of the comparison, in case of their coincidence, the j-th MAC address is deleted from the memory array G MAC , and otherwise, that is, if they do not match, the corresponding i-th IP address allowed for use in the computer network is stored in the memory array AG the address of the network device from the set {A IP } of the j-th generated MAC address from the memory array G MAC . After that, an ARP request to any i-th IP address of the network device from the set {M IP } is received and the IP address of the recipient of the ARP request is compared with the IP addresses of the network devices from the set {D IP } prohibited for use in the IP computing network -address network devices. According to the results of the comparison, if the IP address of the recipient of the ARP request matches the IP addresses from the set {D IP } of the network device IP addresses that are prohibited for use in the computer network, the ARP request is ignored. Otherwise, that is, if the IP address of the receiver of the ARP request does not match the IP addresses from the set {D IP }, the IP address of the receiver of the ARP request is compared with the IP addresses of the network devices from the set {R IP } allowed and connected IPs -address of network devices, and according to the results of the comparison, if the IP address of the recipient of the ARP request matches the IP addresses from the set {R IP } of allowed and connected IP addresses, a message about the availability of the node of the message recipient is formed. Otherwise, that is, if the IP address of the receiver of the ARP request does not match the IP addresses from the set {R IP }, the IP address of the receiver of the ARP request is compared with the IP addresses of network devices from the set of temporarily unconnected IP addresses, and the results of the comparison in case of a mismatch of the IP address of the recipient

ARP-запроса с IP-адресами из множества {UIP} временно неподключенных IP-адресов формируют сообщение о доступности узла получателя пакетов сообщений. В противном случае, то есть при совпадении IP-адреса получателя ARP-запроса с IP-адресами из множества {UIP}, после формирования ответного пакета сообщений, записывают в заголовок ответного пакета сообщений получателя ARP-запроса ложные номера портов для i-x IP-адресов сетевых устройств вычислительной сети из множества {UIP}, хранящихся в двумерном массиве памяти L. Далее после записывания в поле «размер окна» ТСР-заголовка ответного пакета сообщений значения Wнач равное десяти байтам, записывают в заголовок ответного пакета j-й сгенерированныйARP requests with IP addresses from the set {U IP } of temporarily not connected IP addresses form a message about the availability of the message receiver node. Otherwise, that is, if the IP address of the recipient of the ARP request matches the IP addresses from the set {U IP }, after generating the response packet of messages, false port numbers for ix IP addresses are written in the response header header of the ARP request message network device computer network from a variety of {U IP}, stored in a two-dimensional array of memory L. Then, after recording in the "window size" TCP header of the response values of W messages package beginning equal to ten bytes is recorded in the header of the response packet generated by the j-th

МАС-адрес для i-го IP-адреса из массива памяти GMAC. После этого направляют отправителю ответный пакет сообщений со значениями Wнач, j-го сгенерированного МАС-адреса для i-го IP-адреса из массива памяти GMAC, ложными F номерами портов.The MAC address for the i-th IP address from the G MAC memory array. After that, the sender is sent a response packet of messages with the values of W early , j-th generated MAC address for the i-th IP address from the G MAC memory array, false F port numbers.

Запоминание в массиве памяти AG соответствия i-му разрешенному для использования в вычислительной сети IP-адресу сетевого устройства из множества {AIP} j-го сформированного МАС-адреса из массива памяти GMAC осуществляют путем записи в ячейку |i,j| массива памяти AG логической единицы.In the memory array AG, storing the i-th address of a network device from the set {A IP } of the j-th generated MAC address from the memory array G MAC is permitted by writing to the cell | i, j | array of memory AG logical units.

Количество Р разрешенных и Н запрещенных для использования программным обеспечением номеров портов i-x сетевых устройств вычислительной сети выбирают в диапазоне от 1 до 65535.The number P allowed and N prohibited by the software for the port numbers i-x of network devices of the computer network is chosen in the range from 1 to 65535.

Запоминание в двумерном массиве памяти S номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети осуществляют путем записи в ячейку |i,p| массива памяти S логической единицы.S memory of port numbers used by each i-th IP address of network devices of a computer network is stored in a two-dimensional memory array by writing to the cell | i, p | array of memory S logical units.

Запоминание в двумерном массиве памяти V номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети осуществляют путем записи в ячейку |i,h| массива памяти V логической единицы.In a two-dimensional memory array, V numbers of port numbers used by each i-th IP address of network devices of a computer network are stored by writing to the cell | i, h | array of memory V logical units.

Запоминание в двумерном массиве памяти L номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети осуществляют путем записи в ячейку |i,f| массива памяти L логической единицы.In a two-dimensional memory array, L of port numbers used by each i-th IP address of network devices of a computer network is stored by writing to the cell | i, f | array of memory L logical units.

Благодаря новой совокупности существенных признаков в заявленном способе обеспечивается повышение результативности защиты и введение в заблуждение нарушителя относительно структуры вычислительной сети за счет снижения вероятности обнаружения нарушителем факта использования и идентификации характеристик средств защиты, достигаемых путем разделения адресного пространства вычислительной сети и пространства портов на области, обеспечивающие реалистичность функционирования защищаемой вычислительной сети, а также путем формирования множества случайных значений МАС-адресов, соответствующих ложным узлам вычислительной сети.Thanks to a new set of essential features, the claimed method improves the effectiveness of protection and misleads the intruder regarding the structure of the computer network by reducing the likelihood of the violator detecting the fact of using and identifying the characteristics of the protections achieved by dividing the address space of the computer network and port space into areas that provide realism functioning of the protected computer network, as well as by and the set of random values of MAC addresses corresponding to false nodes of the computer network.

Заявленные объекты изобретения поясняются чертежами, на которых показаны:The claimed objects of the invention are illustrated by the drawings, which show:

фиг. 1 - формат дейтаграммы ARP;FIG. 1 is the format of the ARP datagram;

фиг. 2 - пример, иллюстрирующий защиту вычислительной сети с применением сетевой «ловушки» до и после разделения адресного пространства и пространства портов на области;FIG. 2 is an example illustrating the protection of a computer network using a network “trap” before and after dividing the address space and port space into regions;

фиг. 3 - графическая интерпретация разделения адресного пространства вычислительной сети;FIG. 3 is a graphical interpretation of the division of the address space of a computer network;

фиг. 4 - блок-схема последовательности действий, реализующих заявленный способ защиты вычислительных сетей;FIG. 4 is a block diagram of a sequence of actions that implement the claimed method of protecting computer networks;

фиг. 5 - иллюстрация использования единственного и неизменяемого значения (00:00:0F:FF:FF:FF)16 МАС-адреса;FIG. 5 illustrates the use of a single and immutable value (00: 00: 0F: FF: FF: FF) 16 MAC addresses;

фиг. 6 - иллюстрация использования в способе защиты множества случайных значений МАС-адресов.FIG. 6 illustrates the use of a plurality of random MAC address values in a security method.

Реализация заявленного способа объясняется следующим образом. Известно, что в настоящее время достаточно большое количество компьютерных атак носит разведывательный характер с целью получения информации о топологии вычислительной сети, являющейся объектом атаки, а также об используемых средствах защиты вычислительной сети. Одними из средств сетевой защиты, функционирующих с применением обманных сетевых стратегий, направленных на создание у нарушителя иллюзий уязвимых целей или способствующих видимости более сложной инфраструктуры, чем существует на самом деле, являются сетевые «приманки» {honeypots), описанные, например, в книге Provos, N., Holz, Т, Virtual Honeypots: From Botnet Tracking to Intrusion Detection // Addison Wesley, 2007. 480 p. Более совершенные способы сетевого обмана включают в себя не только предоставление противнику правдоподобной цели, но и, так называемые проактивные меры защиты, такие как, например, удержание в двухстороннем порядке соединения с отправителем пакетов сообщений, что вызывает «истощение» ресурсов отправителя пакетов сообщений для поддержания состояния соединения, замедляет процесс автоматического сканирования атакуемой вычислительной сети и, как результат, накладывает ограничение на используемый нарушителем вычислительный ресурс, что приводит к невозможности осуществлять сетевой информационный обмен. Рассмотренные способы проактивной защиты реализованы в виде инструментальных средств сетевого обмана, так называемых сетевых «ловушек» (network tarpits), которые описаны, например, в книге Andres, S., Kenyon, В. Birkolz, Е. Security Sage's Guide to Hardening the Network Infrastructure // Sungress Publishing, 2004. 608 p., на стр. 414-416.The implementation of the claimed method is explained as follows. It is known that at present a sufficiently large number of computer attacks is intelligence in order to obtain information about the topology of the computer network that is the object of the attack, as well as about the used means of protecting the computer network. One of the firewalls that operate using fraudulent network strategies to create illusions for the intruder’s vulnerable targets or to foster visibility of a more complex infrastructure than actually exists is network “baits” {honeypots), described, for example, in the book Provos , N., Holz, T, Virtual Honeypots: From Botnet Tracking to Intrusion Detection // Addison Wesley, 2007. 480 p. More sophisticated methods of network fraud include not only providing the enemy with a plausible target, but also so-called proactive protection measures, such as, for example, retaining a connection to the sender of message packets in a two-way manner, which causes the server to deplete connection state, slows down the process of automatic scanning of the attacked computer network and, as a result, imposes a restriction on the computing resource used by the offender, It makes it impossible to carry out information exchange network. The considered methods of proactive protection are implemented in the form of network deception tools, the so-called network “traps” (network tarpits), which are described, for example, in the book Andres, S., Kenyon, B. Birkolz, E. Security Infrastructure // Sungress Publishing, 2004. 608 p., P. 414-416.

В свою очередь, нарушителями информационной безопасности также активно разрабатываются и совершенствуются средства снижения результативности сетевых «ловушек», реализующие следующие способы их компрометации: детектирование уникальных идентификаторов (демаскирующих признаков) сетевых «ловушек»; детальный анализ сетевого трафика поступающего с сетевых «ловушек». Такими демаскирующими признаками сетевой «ловушки», реализованной в способе-прототипе, являются активность любого IP-адреса из диапазона IP-адресов вычислительной сети и доступность всех его портов, а также использование единственного и неизменяемого значения (00:00:0F:FF:FF:FF)16 (в шестнадцатеричной системе счисления) МАС-адреса независимо от реального адреса сетевого адаптера при ответах на ARP-запросы к i-ому неиспользуемому IP-адресу сетевого устройства вычислительной сети. Когда один прикладной процесс устанавливает соединение с другим прикладным процессом, он указывает адресата связи. Применяемый обычно метод состоит в определении транспортных адресов, к которым процессы могут посылать запросы на установку соединения. В Интернете такие конечные точки называются портами и описаны, например, в книге Таненбаум Э., Уэзеролл Д. Компьютерные сети. 5 изд. - СПб.: Питер, 2017. - 960 с., на стр. 541.In turn, information security violators are also actively developing and improving means of reducing the effectiveness of network “traps”, implementing the following ways to compromise them: detecting unique identifiers (signs) of network “traps”; detailed analysis of network traffic coming from network "traps". Such unmasking features of the network “trap” implemented in the prototype method are the activity of any IP address from the range of IP addresses of the computer network and the availability of all its ports, as well as the use of a single and unchangeable value (00: 00: 0F: FF: FF : FF) 16 (hexadecimal) MAC addresses regardless of the real address of the network adapter when responding to ARP requests to the i-th unused IP address of the network device of the computer network. When one application process establishes a connection with another application process, it indicates the destination of communication. The method commonly used is to determine the transport addresses to which processes can send requests to establish a connection. On the Internet, these endpoints are called ports and are described, for example, in the book Tanenbaum E., Weatherall D. Computer Networks. 5th ed. - SPb .: Peter, 2017. - 960 p., On page 541.

Порт - это натуральное число, записываемое в заголовках протоколов транспортного уровня модели OSI {TCP, UDP, SCTP, DCCP), и используемое для определения процесса-получателя пакета. Эти процессы описаны, например, в Википедии - свободной энциклопедии (см. «Порт» на https://ru.wikipedia.org). Если процессы представляют собой распространенные системные службы, такие как FTP, HTTP, службу электронной почты и т.п., то за ними закрепляются стандартные назначенные номера, называемые также «хорошо известными» {well-known) номерами портов. Эта номера закрепляются и публикуются, например, в технических спецификациях (RFC, Request for Comments) сети Интернет (см., например, https://tools.ietf.org/html/rfc1700, https://tools.ietf.org/html/rfc3232). Так, номер 21 закреплен за серверной частью службы удаленного доступа к файлам FTP (фиг. 2б). В качестве средств компрометации сетевых «ловушек» посредством анализа доступности всех ее портов, однозначно ее идентифицирующих, нарушителем могут применяться различные утилиты такие как, например, nmap и описаны, например, в книге Бирюков А.А. Информационная безопасность: защита и нападение. - М.: ДМК Пресс, 2016. - 484 с., на стр. 180-181.A port is a natural number written in the headers of protocols of the transport layer of the OSI model (TCP, UDP, SCTP, DCCP) and used to determine the process of receiving a packet. These processes are described, for example, on Wikipedia, the free encyclopedia (see “Port” at https://ru.wikipedia.org). If processes are common system services, such as FTP, HTTP, email service, etc., then they are assigned standard assigned numbers, also called “well-known” port numbers. These numbers are fixed and published, for example, in the technical specifications (RFC, Request for Comments) of the Internet (see, for example, https://tools.ietf.org/html/rfc1700, https://tools.ietf.org/ html / rfc3232). Thus, the number 21 is assigned to the server part of the Remote File Access FTP (Fig. 2b). As a means of compromising network "traps" by analyzing the availability of all its ports, uniquely identifying it, the intruder can use various utilities such as, for example, nmap and described, for example, in the book Biryukov A. Information security: protection and attack. - M .: DMK Press, 2016. - 484 p., On pp. 180-181.

Протокол разрешения адресов ARP (Address Resolution Protocol) предназначен для определения адреса канального уровня по известному адресу сетевого уровня и описан, например, в RFC (см., например, https://tools.ietf.org/html/rfc826). Формат дейтаграммы ARP представлен на фиг. 1. В локальных сетях протокол ARP использует широковещательные кадры протокола канального уровня для поиска в сети узла с заданным IP-адресом. Узел, которому нужно разрешить отображение (соответствие) IP-адреса на локальный (физический) адрес, формирует ARP-запрос, инкапсулирует его в кадр протокола канального уровня, указывая в нем известный IP-адрес, и рассылает запрос широковещательно. Все узлы локальной сети получают ARP-запрос и сравнивают указанный там IP-адрес с собственным. В случае их совпадения узел формирует ARP-ответ, в котором указывает свой IP-адрес и свой локальный адрес и посылает его уже направленно, так как в ARP-запросе отправитель указывает свой локальный адрес.The Address Resolution Protocol ARP (Address Resolution Protocol) is designed to determine the link-layer address by a well-known network layer address and is described, for example, in the RFC (see, for example, https://tools.ietf.org/html/rfc826). The format of an ARP datagram is shown in FIG. 1. In local networks, ARP protocol uses broadcast frames of the data link layer protocol to search the network for a node with a specified IP address. The node that needs to be allowed to map (match) an IP address to a local (physical) address generates an ARP request, encapsulates it in a link layer protocol frame, specifies the known IP address, and broadcasts the request. All nodes on the local network receive an ARP request and compare the IP address specified there with their own. If they coincide, the node generates an ARP response, in which it indicates its IP address and its local address and sends it already sent, as the sender indicates its local address in the ARP request.

В качестве средств компрометации сетевых «ловушек», использующих обнаружение активных IP-адресов в помощью ARP-запросов нарушителем применяются различные утилиты (nmap, ethereal, arping, tethreal и др.), предназначенные для анализа сетевого трафика и топологии вычислительной сети, описанные, например, в книге Андрончик А.Н., Богданов В.В., Домуховский Н.А., Коллеров А.С., Синадский Н.И., Хорьков Д.А., Щербаков М.Ю. Защита информации в компьютерных сетях. Практический курс: учебное пособие / А.Н. Андрончик, В.В. Богданов, Н.А. Домуховский и др.; под редакцией Н.И. Синадского. - Екатеринбург: УГТУ-УПИ, 2008. - 248 с.Various tools (nmap, ethereal, arping, tethreal, etc.) are used as means of compromising network “traps” that use detection of active IP addresses by using intruder requests (nmap, ethereal, arping, tethreal, etc.) for analyzing network traffic and computing network topology, for example, , in the book Andronchik A.N., Bogdanov V.V., Domukhovsky N.A., Kollerov A.S., Sinadsky N.I., Khorkov D.A., Scherbakov M.Yu. Protection of information in computer networks. Practical course: textbook / A.N. Andronchik, V.V. Bogdanov, N.A. Domukhovsky et al .; edited by N.I. Sinadsky. - Ekaterinburg: USTU-UPI, 2008. - 248 p.

Таким образом, возникает противоречие между результативностью защиты вычислительных сетей и возможностями нарушителей по определению структуры вычислительных сетей и идентификации характеристик средств защиты, имеющих демаскирующие признаки. На устранение указанного противоречия направлен заявленный способ.Thus, there is a contradiction between the effectiveness of the protection of computer networks and the capabilities of violators to determine the structure of computer networks and the identification of the characteristics of protective equipment with unmasking signs. To eliminate this contradiction directed the claimed method.

Заявленный способ реализуют следующим образом. В общем случае (фиг. 2а) вычислительная сеть представляет собой совокупность корреспондентов 1, 2, 6, 7, являющихся источниками и получателями сетевого трафика, периферийного и коммуникационного оборудования 4, 9, ретранслирующего сетевой трафик корреспондентов, объединенного физическими линиями (каналами) связи 3, 10, соединяющих n узлов вычислительной сети в единую инфраструктуру, в том числе с использованием сети передачи данных типа «Internet» 5. При этом пространство IP-адресов сетевых устройств занято корреспондентами вычислительной сети не полностью: корреспонденты K1, K2, K3, выделенные на фиг. 2а в совокупность 1, подключены к вычислительной сети. Тогда как корреспонденты K4, K5, … Kn, выделенные на фиг. 2а в совокупность 2 (иконки ПЭВМ на фиг. 2а изображены пунктиром), не подключены к вычислительной сети, то есть IP-адреса корреспондентами K4, K5, … Kn не заняты (не используются).The claimed method is implemented as follows. In the general case (Fig. 2a), a computer network is a collection of correspondents 1, 2, 6, 7, which are sources and receivers of network traffic, peripheral and communication equipment 4, 9, relaying network traffic of correspondents, connected by physical lines (channels) of communication 3 , 10 connecting n nodes of a computer network into a single infrastructure, including using an Internet data transmission network 5. At the same time, the IP address space of network devices is occupied by computer network correspondents not By the way: correspondents K 1 , K 2 , K 3 , highlighted in FIG. 2a in the aggregate 1, are connected to the computer network. Whereas the correspondents K 4 , K 5 , ... K n , highlighted in FIG. 2a to 2 (the icons of the PC in Fig. 2a are shown in dotted lines) are not connected to the computer network, that is, the IP addresses of the correspondents K 4 , K 5 , ... K n are not occupied (not used).

Для защиты вычислительной сети и введения в заблуждение нарушителя относительно структуры вычислительной сети, на одном из выделенных компьютеров 7 вычислительной сети устанавливают сетевую «ловушку», осуществляющую перехват ARP-запросов к i-ому неиспользуемому IP-адресу сетевого устройства 2 вычислительной сети, посредством анализатора пакетов 8. После перехват ARP-запросов осуществляют отправление пакета сообщений с ложным МАС-адресом отправителю пакетов сообщений и последующее удержание с ним соединения в двухстороннем порядке.To protect the computer network and mislead the intruder regarding the structure of the computer network, a network “trap” is installed on one of the dedicated computers 7 of the computer network, intercepting ARP requests to the i-th unused IP address of the network device 2 of the computer network using a packet analyzer 8. After intercepting ARP requests, a batch of messages with a false MAC address is sent to the sender of batch messages and then the connection with it is held in a two-way manner.

На фиг. 2б представлена вычислительная сеть с разделением адресного пространства на области, обеспечивающая реалистичность функционирования защищаемой вычислительной сети при ее сканировании злоумышленником. На фиг. 3 представлена графическая интерпретация разделения адресного пространства вычислительной сети с использованием математических выражений, принятых в теории множеств. Разностью {R} множеств {А} и {U} называется операция, результатом которой является множество, состоящее из тех элементов, которые принадлежат {А} и не принадлежат {U} одновременно. То есть {RIP}={AIP \ UIp}={RIP ∈ AIP ∧ RIP ∉ UIP},что и показано на фиг. 3.FIG. 2b shows a computer network with the division of the address space into areas, ensuring the realistic functioning of the protected computer network when it is scanned by an attacker. FIG. 3 shows a graphical interpretation of the division of the address space of a computer network using mathematical expressions adopted in set theory. The difference {R} of the sets {A} and {U} is an operation whose result is a set consisting of those elements that belong to {A} and do not belong to {U} simultaneously. That is, {R IP } = {A IP \ U I p} = {R IP ∈ A IP ∧ R IP ∉ U IP }, as shown in FIG. 3

На фиг. 4 представлена блок-схема последовательности действий, реализующих заявленный способ защиты вычислительных сетей, в которой приняты следующие обозначения:FIG. 4 shows a block diagram of a sequence of actions that implement the claimed method of protecting computer networks, in which the following notation is adopted:

{MIP} - множество всех i IP-адресов сетевых устройств вычислительной сети, где i=1, 2, …, n, а n - максимально допустимое значение диапазона IP-адресов для вычислительной сети;{M IP } is the set of all i IP addresses of network devices of the computer network, where i = 1, 2, ..., n, and n is the maximum allowable value of the range of IP addresses for the computer network;

{AIP} - множество разрешенных для использования в вычислительной сети IP-адресов сетевых устройств, где {AIP}∈{MIP};{A IP } is the set of allowed IP addresses of network devices for use in the computer network, where {A IP } ∈ {M IP };

{DIP} - множество запрещенных для использования в вычислительной сети IP-адресов сетевых устройств, где {DIP}={MIP \ AIP}={DIP ∈ MIP ∧ DIP ∉ AIP};{D IP } is a set of IP addresses of network devices prohibited for use in a computer network, where {D IP } = {M IP \ A IP } = {D IP ∈ M IP D IP A IP };

{UIP} - множество разрешенных и временно неподключенных IP-адресов сетевых устройств в вычислительной сети из множества AIP, где {UIP}={AIP \ RIP}={UIP ∈ AIP ∧ UIP ∉ RIP};{U IP } - the set of allowed and temporarily unconnected IP addresses of network devices in a computer network from the set A IP , where {U IP } = {A IP \ R IP } = {U IP ∈ A IP U IP R IP } ;

{RIP} - множество разрешенных и подключенных IP-адресов сетевых устройств в вычислительной сети из множества AIP, где {RIP}={AIP \ UIP}={RIP ∈ AIP ∧ RIP ∉ UIP};{R IP } is the set of allowed and connected IP addresses of network devices in a computer network from the set A IP , where {R IP } = {A IP \ U IP } = {R IP ∈ A IP ∧ R IP U IP };

SMAC - массив памяти для хранения считанных МАС-адресов сетевых устройств в вычислительной сети;S MAC - an array of memory for storing read MAC addresses of network devices in a computer network;

GMAC - массив памяти для хранения сформированных МАС-адресов;G MAC is an array of memory for storing the formed MAC addresses;

AG - массив памяти для хранения матрицы соответствия i-му разрешенному для использования в вычислительной сети IP-адресу сетевого устройства из массива AIP j-го сформированного МАС-адреса из массива памяти GMAC;AG is a memory array for storing the compliance matrix with the i-th IP address of a network device from the A- IP array of the j-th generated MAC address from the G- MAC memory array allowed for the computer network;

{Р} - множество разрешенных для использования программным обеспечением K номеров портов i IP-адресов сетевых устройств вычислительной сети, где {Р}={1i, 2i, … Pi};{P} is the set of allowed by the software K port numbers and IP addresses of network devices of the computer network, where {P} = {1i, 2i, ... Pi};

S - двумерный массив памяти для хранения считанных Р разрешенных для использования программным обеспечением номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети;S is a two-dimensional memory array for storing the readout P numbers of ports allowed by the software for use by each i-th IP address of network devices of the computer network;

{H} - множество запрещенных для использования программным обеспечением Н номеров портов i-x сетевых устройств вычислительной сети, где {H}={1i, 2i, … Hi};{H} is a set of numbers of ports i-x network devices of a computer network that are prohibited by software H, where {H} = {1i, 2i, ... Hi};

V - двумерный массив памяти для хранения Н запрещенных для использования программным обеспечением номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети;V is a two-dimensional memory array for storing N prohibited numbers for use by the software of the ports used by each i-th IP address of network devices of the computer network;

{F} - множество ложных F номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети из множества {UIP}, где {F}={1i, 2i, … Fi};{F} is the set of false F port numbers used by each i-th IP address of network devices of the computer network from the set {U IP }, where {F} = {1i, 2i, ... Fi};

L - двумерный массив памяти для хранения F ложных номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети из множества {UIP}.L is a two-dimensional memory array for storing F false port numbers used by each i-th IP address of network devices of the computer network from the set {U IP }.

Для снижения вероятности обнаружения нарушителем факта использования и идентификации характеристик средств защиты, предварительно разделяют адресное пространство вычислительной сети (фиг. 2б) на множества 1 - разрешенных и подключенных IP-адресов сетевых устройств, 2 - разрешенных и временно неподключенных IP-адресов сетевых устройств, имитирующих функционирование прикладного программного обеспечения, что проявляется инициализацией соответствующих портов, 3 - запрещенных для использования в вычислительной сети IP-адресов сетевых устройств, обеспечивающие реалистичность функционирования защищаемой вычислительной сети.To reduce the likelihood of the violator detecting the fact of use and identifying the characteristics of the security tools, they preliminarily divide the address space of the computer network (Fig. 2b) into sets 1 - allowed and connected IP addresses of network devices, 2 - allowed and temporarily unconnected IP addresses of network devices simulating the functioning of the application software, which is manifested by the initialization of the corresponding ports, 3 - IP addresses that are prohibited for use in a computer network tv, provides realistic functioning of the protected area network.

Для этого предварительно задают (см. блок 1 на фиг. 4) множество {MIP}={K1, K2, … Kn} всех i IP-адресов сетевых устройств вычислительной сети, где i=1, 2, …, n, а n - максимально допустимое значение диапазона IP-адресов для вычислительной сети.To do this, preset (see block 1 in Fig. 4) the set {M IP } = {K 1 , K 2 , ... K n } of all i IP addresses of network devices of the computer network, where i = 1, 2, ..., n, and n - the maximum allowable value of the range of IP-addresses for the computer network.

В множестве {MIP} задают множество {AIP}={K1, K2, K3, K4, K5, K6} разрешенных для использования в вычислительной сети IP-адресов сетевых устройств, где {AIP}∈{MIP}.The set {M IP } defines the set {A IP } = {K 1 , K 2 , K 3 , K 4 , K 5 , K 6 } of the IP addresses of network devices permitted for use in a computer network, where {A IP } ∈ {M IP }.

Затем в множестве {MIP} задают множество {DIP}={K7, … Kn} запрещенных для использования в вычислительной сети IP-адресов сетевых устройств, где {DIP}={MIP \ AIP}={DIP ∈ MIP ∧ DIP ∉ AIP}.Then, in the set {M IP }, the set {D IP } = {K 7 , ... K n } of the IP addresses of network devices prohibited for use in the computer network is given, where {D IP } = {M IP \ A IP } = {D IP ∈ M IP ∧ D IP A IP }.

После этого в множестве {MIP} задают множество {UIP}={K4, K5, K6} разрешенных и временно неподключенных IP-адресов сетевых устройств в вычислительной сети из множества {AIP}, где {UIP}={AIP \ RIP}={UIP ∈ AIP ∧ UIP ∉ RIP}.After that, in the set {M IP }, the set {U IP } = {K 4 , K 5 , K 6 } of the allowed and temporarily non-connected IP addresses of network devices in the computer network from the set {A IP }, where {U IP } = {A IP \ R IP } = {U IP ∈ A IP ∧ U IP R IP }.

Также предварительно задают множество {RIP}={K1, K2, K3} разрешенных и подключенных IP-адресов сетевых устройств в вычислительной сети из множества {AIP}, где {RIP}={AIP \ UIP}={RIP ∈ AIP ∧ RIP ∉ UIP}.Also, the set {R IP } = {K 1 , K 2 , K 3 } of allowed and connected IP addresses of network devices in the computer network from the set {A IP }, where {R IP } = {A IP \ U IP } = {R IP ∈ A IP ∧ R IP ∉ U IP }.

Разделением таким образом адресного пространства вычислительной сети достигается реалистичность функционирования защищаемой вычислительной сети, что позволяет снизить вероятность обнаружения нарушителем факта использования средств защиты и с высокой степенью вероятности идентифицировать факт ведения сетевой разведки нарушителем, заключающийся в его обращении к IP-адресам временно неподключенных сетевых устройств {UIP}, а также снизить информативность демаскирующего признака сетевой «ловушки» (заключающегося в активности всего диапазона IP-адресов вычислительной сети) исключением из диапазона IP-адресов, обращения к которым перехватывают «ловушкой», множество IP-адресов {DIP}.Splitting the address space of the computer network in this way achieves realistic operation of the protected computer network, which makes it possible to reduce the probability of the violator detecting the use of protective equipment and with a high degree of probability to identify the fact that the network intelligence is being conducted by the intruder, which consists in his addressing the IP addresses of temporarily unconnected network devices {U IP}, and also to reduce network feature information content unmasking "traps" (consisting in the total activity d apazone IP-address area network) exception of IP-address ranges, which refer to intercept "trap", a plurality of IP-addresses {D IP}.

Для снижения вероятности идентификации характеристик средств защиты в заявленном способе обеспечивают уменьшение информативности демаскирующего признака сетевой «ловушки», заключающемся в использовании единственного и неизменяемого значения (00:00:0F:FF:FF:FF)16 МАС-адреса независимо от реального адреса сетевого адаптера, при ответах на ARP-запросы к i-ому неиспользуемому IP-адресу сетевого устройства вычислительной сети. Для этого применяют случайные значения МАС-адресов сетевых адаптеров.To reduce the likelihood of identifying the characteristics of the protection in the claimed method, the information content of the unmasking attribute of the network “trap” is reduced, which consists in using a single and unchangeable value (00: 00: 0F: FF: FF: FF) 16 MAC addresses regardless of the real address of the network adapter , when responding to ARP requests to the i-th unused IP address of the network device of the computer network. For this purpose, random values of the MAC addresses of network adapters are used.

Применение случайных значений МАС-адресов сетевых адаптеров достигают тем, что задают (см. блок 1 на фиг. 4) массив памяти SMAC для хранения считанных МАС-адресов сетевых устройств в вычислительной сети, массив памяти GMAC для хранения сформированных МАС-адресов и массив памяти AG для хранения матрицы соответствия i-му разрешенному для использования в вычислительной сети IP-адресу сетевого устройства из множества {AIP} j-го сформированного МАС-адреса из массива памяти GMAC.Applying random values of the MAC addresses of network adapters is achieved by setting (see block 1 in FIG. 4) the MAC memory array for storing the read MAC addresses of network devices in the computer network, the MAC memory array G for storing the generated MAC addresses and An array of memory AG for storing a matrix of correspondence to the i-th IP address of a network device from the set {A IP } of the j-th generated MAC address from the memory array G MAC allowed for the computer network.

Кроме того, для снижения вероятности идентификации характеристик средств защиты в заявленном способе обеспечивают уменьшение информативности другого демаскирующего признака сетевой «ловушки», заключающегося в ответах получателя пакетов сообщений на запросы ко всему пространству портов. Для этого обеспечивают разделение пространства портов на области у временно неподключенных сетевых устройств вычислительной сети и имитацию функционирования прикладного программного обеспечения, что проявляется инициализацией соответствующих портов IP-адресов временно неподключенных сетевых устройств из множества {UIP}, как представлено на фиг. 2б (корреспонденты K4 - веб-сервер, имитирующий доступность портов с номерами 80 и 8080; K5 - сервер электронной почты, имитирующий доступность портов с номерами 25, 110, 143; K6 - сервер FTP, имитирующий доступность портов с номерами 20 и 21). Это достигают тем, что предварительно задают (см. блок 1 на фиг. 4) множество {Р}={1i, 2i, … Pi} разрешенных для использования программным обеспечением Р номеров портов i IP-адресов сетевых устройств вычислительной сети и двумерный массив памяти S для хранения считанных Р разрешенных для использования программным обеспечением номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети. А также множество {Н}={1i, 2i, … Hi} запрещенных для использования программным обеспечением Н номеров портов i-x сетевых устройств вычислительной сети, двумерный массив памяти V для хранения Н запрещенных для использования программным обеспечением номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети. Также задают множество {F}={1i, 2i, … Fi} ложных F номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети из множества {UJP} и двумерный массив памяти L для хранения F ложных номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети из множества {UIP}.In addition, to reduce the likelihood of identifying the characteristics of security tools in the inventive method, the information content of another unmasking attribute of the network “trap” is reduced, consisting in the responses of the receiver of message packets to requests to the entire port space. To do this, they separate the port space into areas of temporarily unconnected network devices of the computer network and simulate the functioning of application software, which manifests itself by initializing the corresponding ports of IP addresses of temporarily unconnected network devices from the set {U IP }, as shown in FIG. 2b (K 4 correspondents are a web server imitating the availability of ports 80 and 8080; K 5 is an email server imitating the availability of ports 25, 110, 143; K 6 is an FTP server imitating the availability of ports 20 and 21). This is achieved by pre-setting (see block 1 in Fig. 4) the set {P} = {1i, 2i, ... Pi} allowed by the software P numbers of ports i IP addresses of network devices of the computer network and a two-dimensional memory array S to store the readout P allowed by the software for the port numbers used by each i-th IP address of the network devices of the computer network. And also many {N} = {1i, 2i, ... Hi} prohibited by the software N port numbers ix network devices of the computer network, a two-dimensional array of memory V for storing N forbidden for use by the software port numbers used by each i-th IP -address of network devices of a computer network. Also, the set {F} = {1i, 2i, ... Fi} of false F port numbers used by each i-th IP address of network devices of the network from the set {U JP } and a two-dimensional memory array L for storing F false port numbers are specified, used by each i-th IP address of network devices of the computer network from the set {U IP }.

Затем, после подключения сетевых устройств к вычислительной сети (см. блок 2 на фиг. 4) считывают (см. блок 3 на фиг. 4) Р разрешенных для использования программным обеспечением номеров портов i-x IP-адресов сетевых устройств вычислительной сети, запоминают (см. блок 4 на фиг. 4) Р разрешенных для использования программным обеспечением номеров портов i-x IP-адресов сетевых устройств вычислительной сети в двумерном массиве памяти S. Далее запоминают IP-адреса временно неподключенных сетевых устройств в множество {UIP} (см. блок 5 на фиг. 4).Then, after connecting the network devices to the computer network (see block 2 in Fig. 4), read (see block 3 in Fig. 4) P allowed for use by the software of port numbers ix IP addresses of network devices of the computer network, remember (see block 4 in Fig. 4) P allowed by the software for the port number ix of the IP addresses of network devices of the computer network in a two-dimensional memory array S. Next, the IP addresses of temporarily unconnected network devices are stored in the set {U IP } (see block 5 in Fig. 4).

После этого формируют (см. блок 6 на фиг. 4) F ложных номеров портов для каждого i-го IP-адреса из множества {UIP}, для чего считывают (см. блок 7 на фиг. 4) из двумерного массива памяти S номера разрешенных для использования программным обеспечением номеров портов для i-x IP-адресов сетевых устройств вычислительной сети из множества {UIP} и запоминают (см. блок 8 на фиг. 4) считанные разрешенные для использования программным обеспечением номера портов для i-х IP-адресов сетевых устройств вычислительной сети из множества {UIP} в двумерном массиве памяти L.After that, form (see block 6 in Fig. 4) F spurious port numbers for each i-th IP address from the set {U IP } are formed, for which read (see block 7 in Fig. 4) from the two-dimensional memory array S The numbers of the allowed for use by the software of port numbers for ix IP addresses of network devices of a computer network from the set {U IP } and remember (see block 8 in Fig. 4) the number of ports allowed for use by the software for i-th IP addresses network devices of the computer network from the set {U IP } in a two-dimensional array of memory L.

Далее считывают (см. блок 9 на фиг. 4) МАС-адреса подключенных сетевых устройств вычислительной сети и запоминают их (см. блок 10 на фиг. 4) в массиве памяти SMAC. Далее генерируют (см. блок 11 на фиг. 4) случайную последовательность шестнадцатеричных чисел (см. блок 6 на фиг. 4), например, как описано в книге Дональд Э. Кнут Случайные числа // Искусство программирования. 3 изд. - М.: Вильяме, 2000. Т. 2. Получисленные алгоритмы. - 832 с., и формируют из нее (см. блок 12 на фиг. 4) J значений, где J=1, 2, …, j, МАС-адресов временно неподключенных сетевых устройств вычислительной сети.Next, read (see block 9 in Fig. 4) the MAC addresses of the connected network devices of the computer network and memorize them (see block 10 in Fig. 4) in the memory array S MAC . Next, generate (see block 11 in Fig. 4) a random sequence of hexadecimal numbers (see block 6 in Fig. 4), for example, as described in the book by Donald E. Knut Random Numbers // Programming Art. 3rd ed. - M .: Williams, 2000. T. 2. The computed algorithms. - 832 s., And form from it (see block 12 in Fig. 4) J values, where J = 1, 2, ..., j, MAC addresses of temporarily unconnected network devices of the computer network.

После этого запоминают (см. блок 13 на фиг. 4) сформированные J значений МАС-адресов временно неподключенных сетевых устройств вычислительной сети в массиве памяти GMAC и, для исключения появления в вычислительной сети двух сетевых устройств с одинаковыми МАС-адресами, сравнивают (см. блок 15 на фиг. 4) сформированные J значений МАС-адресов временно неподключенных сетевых устройств вычислительной сети из массива памяти GMAC с МАС-адресами временно неподключенных сетевых устройств вычислительной сети из массива памяти SMAC. По результатам сравнения, в случае их совпадения, j-й МАС-адрес удаляют (см. блок 14 на фиг. 4) из массива памяти GMAC, а в противном случае, то есть при их несовпадении, запоминают (см. блок 16 на фиг. 4) в массиве памяти AG соответствие i-му разрешенному для использования в вычислительной сети IP-адресу сетевого устройства из множества {AIP} j-го сформированного МАС-адреса из массива памяти GMAC.After that, remember (see block 13 in Fig. 4) the generated J values of the MAC addresses of temporarily unconnected network devices of the computer network in the memory array G MAC and, to exclude the appearance in the computer network of two network devices with the same MAC addresses, see block 15 in Fig. 4) formed J values of the MAC addresses of temporarily unconnected network devices of the computer network from the memory array G MAC with the MAC addresses of the temporarily unconnected network devices of the computer network from the memory array S MAC . According to the results of the comparison, if they coincide, the j-th MAC address is deleted (see block 14 in Fig. 4) from the memory array G MAC , and otherwise, that is, if they do not match, remember (see block 16 on Fig. 4) in the memory array AG corresponding to the i-th IP address of the network device from the set {A IP } of the j-th generated MAC address from the memory array G MAC allowed for the computer network.

Далее принимают (см. блок 17 на фиг. 4) ARP-запрос к любому i-му IP-адресу сетевого устройства из множества {MIP} и сравнивают (см. блок 18 на фиг. 4) IP-адрес получателя ARP-запроса с IP-адресами сетевых устройств из множества {DIP} запрещенных для использования в вычислительной сети IP-адресов сетевых устройств. По результатам сравнения, в случае совпадения IP-адреса получателя ARP-запроса с IP-адресами из множества {DIP} запрещенных для использования в вычислительной сети IP-адресов сетевых устройств, игнорируют ARP-запрос (см. блок 19 на фиг. 4).Next, receive (see block 17 in Fig. 4) ARP request to any i-th IP address of the network device from the set {M IP } and compare (see block 18 in Fig. 4) the IP address of the receiver of the ARP request with IP addresses of network devices from the set {D IP } of IP addresses of network devices prohibited for use in a computer network. According to the results of the comparison, if the IP address of the recipient of the ARP request matches the IP addresses from the set {D IP } of the network device IP addresses that are prohibited for use in the computer network, the ARP request is ignored (see block 19 in Fig. 4) .

В противном случае, то есть при несовпадении IP-адреса получателя ARP-запроса с IP-адресами из множества {DIP}, сравнивают (см. блок 20 на фиг. 4) IP-адрес получателя ARP-запроса с IP-адресами сетевых устройств из множества {RIP} разрешенных и подключенных IP-адресов сетевых устройств, и по результатам сравнения в случае совпадения IP-адреса получателяOtherwise, that is, if the IP address of the receiver of the ARP request does not match the IP addresses from the set {D IP }, compare the IP address of the receiver of the ARP request with the IP addresses of network devices from the set {R IP } of allowed and connected IP addresses of network devices, and by the results of the comparison in case of coincidence of the IP address of the recipient

ARP-запроса с IP-адресами из множества {RIP} разрешенных и подключенных IP-адресов формируют (см. блок 23 на фиг. 4) сообщение о доступности узла получателя пакетов сообщений, что соответствует обращению легитимного абонента к сетевому устройству вычислительной сети.ARP requests with IP addresses from the set {R IP } of allowed and connected IP addresses form (see block 23 in Fig. 4) a message about the availability of the message receiving node, which corresponds to the access of the legitimate subscriber to the network device of the computer network.

В противном случае, то есть при несовпадении IP-адреса получателя ARP-запроса с IP-адресами из множества {RIP}, сравнивают (см. блок 21 на фиг. 4) IP-адрес получателя ARP-запроса с IP-адресами сетевых устройств из множества {UIP} временно неподключенных IP-адресов, и по результатам сравнения в случае несовпадения IP-адреса получателя ARP-запроса с IP-адресами из множества {UIP} временно неподключенных IP-адресов формируют (см. блок 23 на фиг. 4) сообщение о доступности узла получателя пакетов сообщений.Otherwise, that is, if the IP address of the receiver of the ARP request does not match the IP addresses from the set {R IP }, the IP address of the receiver of the ARP request is compared with the IP addresses of network devices from the set {U IP } of temporarily unconnected IP addresses, and according to the results of the comparison, if the IP address of the recipient of the ARP request does not match the IP addresses from the set {U IP } of the temporarily unconnected IP addresses, see block 23 in FIG. 4) message about the availability of the node of the recipient of message packets.

В противном случае, то есть при совпадении IP-адреса получателя ARP-запроса с IP-адресами из множества {UIP}, после формирования ответного пакета сообщений (см. блок 22 на фиг. 4) и записывания (см. блок 24 на фиг. 4) в поле «размер окна» ТСР-заголовка ответного пакета сообщений значения Wнач равное десяти байтам, записывают (см. блок 25 на фиг. 4) в заголовок ответного пакета сообщений получателя ARP-запроса ложные номера портов для i-x IP-адресов сетевых устройств вычислительной сети из множества {UIP}, хранящихся в двумерном массиве памяти L. Затем записывают (см. блок 26 на фиг. 4) в заголовок ответного пакета j-й сгенерированный МАС-адрес для i-го IP-адреса из массива памяти GMAC. После этого направляют (см. блок 27 на фиг. 4) отправителю ответный пакет сообщений со значениями Wнач, j-го сгенерированного МАС-адреса для i-го IP-адреса из массива памяти GMAC, ложными F номерами портов.Otherwise, that is, if the IP address of the recipient of the ARP request matches the IP addresses from the set {U IP }, after forming the response message packet (see block 22 in Fig. 4) and recording (see block 24 in FIG. . 4) in the "window size" TCP header of the response packet messages values W nach equal ten bytes are recorded (see. the block 25 in FIG. 4) in the header of the response message packet recipient ARP-request false port numbers for ix IP-address network devices of the computer network from the set {U IP }, stored in a two-dimensional array of memory L. Then write (see block 26 in Fig. 4) in the header of the response packet, the j-th generated MAC address for the i-th IP address from the memory array G MAC . After that, send (see block 27 in FIG. 4) to the sender a response packet of messages with values of W init , j-th generated MAC address for the i-th IP address from the G MAC memory array, false F port numbers.

Затем принимают (см. блок 28 на фиг. 4) очередной пакет сообщений и устанавливают (см. блок 29 на фиг. 4) в поле «размер окна» заголовка ответного пакета Wуд=0, после чего формируют (см. блок 30 на фиг. 4) ответные пакеты с Wуд=0 и направляют (см. блок 31 на фиг. 4) отправителю ответные пакеты с Wуд=0. Для блокирования попыток разорвать соединение со стороны отправителя пакетов сообщений игнорируют (см. блок 32 на фиг. 4) все входящие пакеты сообщений, до тех пор, пока не истечет тайм-аут соединения.Then another packet of messages is received (see block 28 in FIG. 4) and is set (see block 29 in FIG. 4) in the “window size” field of the response packet header W beats = 0, and then formed (see block 30 on Fig. 4) the response packets with W beats = 0 and send (see block 31 in Fig. 4) the sender response packets with W beats = 0. To block attempts to break the connection from the sender of the message packets, ignore (see block 32 in Fig. 4) all incoming message packets until the connection times out.

Запоминание в массиве памяти AG соответствия i-му разрешенному для использования в вычислительной сети IP-адресу сетевого устройства из множества {AIP} j-го сформированного МАС-адреса из массива памяти GMAC осуществляют путем записи в ячейку |i,j| двумерного массива памяти AG логической единицы. Двумерный массив памяти в результате содержит простую матрицу, содержащую нули и единицы. Единица в ячейке матрицы означает соответствие i-го IP-адреса сетевого устройства j-му МАС-адресу.In the memory array AG, storing the i-th address of a network device from the set {A IP } of the j-th generated MAC address from the memory array G MAC is permitted by writing to the cell | i, j | two-dimensional array of memory AG logical unit. The resulting two-dimensional memory array contains a simple matrix containing zeros and ones. A unit in the matrix cell means that the i-th IP address of the network device corresponds to the j-th MAC address.

Количество Р разрешенных и Н запрещенных для использования программным обеспечением номеров портов i-x сетевых устройств вычислительной сети выбирают в диапазоне от 1 до 65535.The number P allowed and N prohibited by the software for the port numbers i-x of network devices of the computer network is chosen in the range from 1 to 65535.

Запоминание в двумерном массиве памяти S номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети осуществляют путем записи в ячейку |i,p| массива памяти S логической единицы.S memory of port numbers used by each i-th IP address of network devices of a computer network is stored in a two-dimensional memory array by writing to the cell | i, p | array of memory S logical units.

Запоминание в двумерном массиве памяти V номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети осуществляют путем записи в ячейку |i,h| массива памяти V логической единицы.In a two-dimensional memory array, V numbers of port numbers used by each i-th IP address of network devices of a computer network are stored by writing to the cell | i, h | array of memory V logical units.

Запоминание в двумерном массиве памяти L номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети осуществляют путем записи в ячейку |i,f| массива памяти L логической единицы.In a two-dimensional memory array, L of port numbers used by each i-th IP address of network devices of a computer network is stored by writing to the cell | i, f | array of memory L logical units.

Результативность сформулированного технического результата была проверена путем программной реализации заявленного способа и проведении натурного эксперимента. Суть эксперимента - сравнение результативности обнаружения сетевой «ловушки», реализованной в способе-прототипе, с результативностью обнаружения сетевой «ловушки» при программной реализации заявленного способа. Для идентификации сетевой «ловушки», то есть для идентификации характеристик средств защиты в процессе эксперимента применен перехват из сетевого трафика ответов на запросы по протоколу ARP с использованием анализатора пакетов Wireshark описанного, например в (Abbhinav, Singh. Instant Wireshark Starter. Pakt Publishing, UK. 69 p. ISBN 978-1-84969-564-0). На фиг. 5 представлена экранная форма, иллюстрирующая результаты первого этапа эксперимента. Результат анализа сетевого трафика - использование единственного и неизменяемого значения (00:00:0F:FF:FF:FF)16 МАС-адреса. Обнаружение данного МАС-адреса позволяет однозначно идентифицировать факт использования в качестве средства защиты вычислительной сети сетевую «ловушку».The effectiveness of the stated technical result was verified by software implementation of the claimed method and conducting a field experiment. The essence of the experiment is a comparison of the detection performance of the network “trap” implemented in the prototype method with the detection performance of the network “trap” in the software implementation of the claimed method. To identify the network “trap”, that is, to identify the characteristics of protective equipment during the experiment, intercepting ARP requests from the network traffic using the Wireshark packet analyzer described in, for example, (Abbhinav, Singh. Instant Wireshark Starter. Pakt Publishing, UK . 69 p. ISBN 978-1-84969-564-0). FIG. 5 shows a screen form illustrating the results of the first stage of the experiment. The result of network traffic analysis is the use of a single and unchangeable value (00: 00: 0F: FF: FF: FF) 16 MAC addresses. Detection of this MAC address allows you to uniquely identify the fact that a network “trap” is being used as a means of protecting a computer network.

На втором этапе эксперимента использовалась программная реализация заявленного способа. Результат случайной генерации МАС-адресов сетевых устройств вычислительной сети и анализа сетевого трафика с использованием анализатора пакетов Wireshark представлен на фиг. 6. Использование таких МАС-адресов при ответах на запросы по протоколу ARP позволило полностью устранить демаскирующий признак сетевой «ловушки» и скрыть таким образом тип используемого в вычислительной сети средства защиты.At the second stage of the experiment, the software implementation of the claimed method was used. The result of randomly generating the MAC addresses of network devices of a computer network and analyzing network traffic using the Wireshark packet analyzer is shown in FIG. 6. The use of such MAC addresses when responding to requests using the ARP protocol made it possible to completely eliminate the unmasking attribute of the network “trap” and thus hide the type of protection used in the computer network.

Таблица на фиг. 6 содержит следующие основные элементы. В таблице записано чередование широковещательных (Broadcast) запросов (нечетная строка, например, № п/п 465) по протоколу ARP и ответов на них. Нарушитель осуществляет запросы через маршрутизатор AsustekC. Суть запроса отражается в столбце таблицы «Содержимое ARP-запроса». Рассмотрим пример. В строке №465 маршрутизатор AsustekC запрашивает физический адрес (МАС-адрес) устройства с IP-адресом 10.0.0.40. В строке №466 п/п устройство с физическим адресом (МАС-адресом) be:97:a6:1c:2a:ef отвечает маршрутизатору AsustekC отвечает своим соответствием запрашиваемомуThe table in FIG. 6 contains the following main elements. The table shows the alternation of broadcast (Broadcast) requests (an odd line, for example, No. 465) using the ARP protocol and responses to them. The intruder makes requests through the AsustekC router. The essence of the request is reflected in the column in the "Contents of the ARP request." Consider an example. In line No. 465, the AsustekC router requests the physical address (MAC address) of the device with the IP address 10.0.0.40. In line No. 466, a p / p device with a physical address (MAC address) is: 97: a6: 1c: 2a: ef responds to the AsustekC router with its correspondence to the requested

IP-адресу. Аналогичный диалог происходит и в остальных парах строк таблицы. При этом все ответы на ARP-запросы отправляет сетевая «ловушка», реализованная заявленным способом, устанавливая соответствие ложных узлов вычислительной сети запрашиваемым маршрутизатором AsustekCIP address. A similar dialogue takes place in the remaining pairs of rows in the table. At the same time, all responses to ARP requests are sent by the network “trap” implemented by the claimed method, establishing the correspondence of false nodes of the computer network to the requested AsustekC router

IP-адресам.IP addresses.

Таким образом, в заявленном способе достигается достижение сформулированной цели, заключающейся в повышении результативности защиты и введении в заблуждение нарушителя относительно структуры вычислительной сети, за счет снижения вероятности обнаружения нарушителем факта использования средств защиты и идентификации их характеристик, достигаемых путем разделения адресного пространства вычислительной сети и пространства портов на области, обеспечивающие реалистичность функционирования защищаемой вычислительной сети, а также путем формирования множества случайных значений МАС-адресов, соответствующих ложным узлам вычислительной сети.Thus, the claimed method achieves the stated goal of improving the effectiveness of protection and misleading the intruder regarding the structure of the computer network, by reducing the probability of the fact that the intruder detects the use of protection and identifies their characteristics achieved by separating the address space of the computer network and space ports to areas that provide realistic operation of the protected computer network, as well as forming a plurality of random values of the MAC addresses corresponding to the false network computing nodes.

Claims (6)

1. Способ защиты вычислительных сетей, заключающийся в том, что подключают сетевые устройства к вычислительной сети и после приема ARP-запросов к i-му неиспользуемому IP-адресу сетевого устройства вычислительной сети формируют ответный пакет сообщений, записывают в поле «размер окна» TCP-заголовка ответного пакета сообщений значение Wнач, равное десяти байтам, принимают очередной пакет сообщений, формируют ответный пакет сообщений, устанавливают в поле «размер окна» TCP-заголовка ответного пакета сообщений значение Wуд, равное нулю байтов, направляют отправителю сформированные ответные пакеты сообщений, а для блокирования попыток разорвать соединение со стороны отправителя пакетов сообщений игнорируют все входящие пакеты сообщений до истечения тайм-аута соединения, отличающийся тем, что предварительно задают множество {MIP} всех i IP-адресов сетевых устройств вычислительной сети, где i=1, 2, …, n, а n - максимально допустимое значение диапазона IP-адресов для вычислительной сети, множество {AIP} разрешенных для использования в вычислительной сети IP-адресов сетевых устройств, где {AIP}∈{MIP}, множество {DIP} запрещенных для использования в вычислительной сети IP-адресов сетевых устройств, где
Figure 00000001
, множество {UIP} разрешенных и временно неподключенных IP-адресов сетевых устройств в вычислительной сети из множества {AIP} и множество {RIP} разрешенных и подключенных IP-адресов сетевых устройств в вычислительной сети из множества {AIP}, где
Figure 00000002
и
Figure 00000003
, массив памяти SMAC для хранения считанных MAC-адресов сетевых устройств в вычислительной сети, массив памяти GMAC для хранения сформированных MAC-адресов, массив памяти AG для хранения матрицы соответствия i-му разрешенному для использования в вычислительной сети IP-адресу сетевого устройства из множества {AIP} j-го сформированного MAC-адреса из массива памяти GMAC, множество {Р}={1i, 2i, …, Pi} разрешенных для использования программным обеспечением Р номеров портов i IP-адресов сетевых устройств вычислительной сети, двумерный массив памяти S для хранения считанных Р разрешенных для использования программным обеспечением номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети, множество {H}={1i, 2i, …, Hi} запрещенных для использования программным обеспечением Н номеров портов i-x сетевых устройств вычислительной сети, двумерный массив памяти V для хранения Н запрещенных для использования программным обеспечением номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети, множество {F}={1i, 2i, …, Fi} ложных F номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети из множества {UIP}, двумерный массив памяти L для хранения F ложных номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети из множества {UIP}, и после подключения сетевых устройств к вычислительной сети считывают Р разрешенных для использования программным обеспечением номеров портов i-x IP-адресов сетевых устройств вычислительной сети, запоминают Р разрешенных для использования программным обеспечением номеров портов i-x IP-адресов сетевых устройств вычислительной сети в двумерном массиве памяти S, запоминают IP-адреса временно неподключенных сетевых устройств в множество {UIP}, формируют F ложных номеров портов для каждого i-го IP-адреса из множества {UIP}, для чего считывают из двумерного массива памяти S номера разрешенных для использования программным обеспечением номеров портов для i-x IP-адресов сетевых устройств вычислительной сети из множества {UIP} и запоминают считанные разрешенные для использования программным обеспечением номера портов для i-x IP-адресов сетевых устройств вычислительной сети из множества {UIP} в двумерном массиве памяти L, считывают MAC-адреса подключенных сетевых устройств вычислительной сети и запоминают их в массиве памяти SMAC, затем генерируют случайную последовательность шестнадцатеричных чисел и формируют из нее J значений, где J=1, 2, …, j, MAC-адресов временно неподключенных сетевых устройств вычислительной сети, запоминают сформированные J значений МАС-адресов временно неподключенных сетевых устройств вычислительной сети в массиве памяти GMAC и сравнивают сформированные J значений МАС-адресов временно неподключенных сетевых устройств вычислительной сети из массива памяти GMAC с MAC-адресами временно неподключенных сетевых устройств вычислительной сети из массива памяти SMAC, а по результатам сравнения в случае их совпадения j-й MAC-адрес удаляют из массива памяти GMAC, в противном случае, то есть при их несовпадении, запоминают в массиве памяти AG соответствие i-му разрешенному для использования в вычислительной сети IP-адресу сетевого устройства из множества {AIP} j-го сформированного MAC-адреса из массива памяти GMAC, после чего принимают ARP-запрос к любому i-му IP-адресу сетевого устройства из множества {MIP} и сравнивают IP-адрес получателя ARP-запроса с IP-адресами сетевых устройств из множества {DIP} запрещенных для использования в вычислительной сети IP-адресов сетевых устройств, а по результатам сравнения в случае совпадения IP-адреса получателя ARP-запроса с IP-адресами из множества {DIP} запрещенных для использования в вычислительной сети IP-адресов сетевых устройств игнорируют ARP-запрос, а в противном случае, то есть при несовпадении IP-адреса получателя ARP-запроса с IP-адресами из множества {DIP}, сравнивают IP-адрес получателя ARP-запроса с IP-адресами сетевых устройств из множества {RIP} разрешенных и подключенных IP-адресов сетевых устройств и по результатам сравнения в случае совпадения IP-адреса получателя ARP-запроса с IP-адресами из множества {RIP} разрешенных и подключенных IP-адресов формируют сообщение о доступности узла получателя пакетов сообщений, а в противном случае, то есть при несовпадении IP-адреса получателя ARP-запроса с IP-адресами из множества {RIP}, сравнивают IP-адрес получателя ARP-запроса с IP-адресами сетевых устройств из множества {UIP} временно неподключенных IP-адресов и по результатам сравнения в случае несовпадения IP-адреса получателя ARP-запроса с IP-адресами из множества {UIP} временно неподключенных IP-адресов формируют сообщение о доступности узла получателя пакетов сообщений, а в противном случае, то есть при совпадении IP-адреса получателя ARP-запроса с IP-адресами из множества {UIP}, после формирования ответного пакета сообщений записывают в заголовок ответного пакета сообщений получателя ARP-запроса ложные номера портов для i-x IP-адресов сетевых устройств вычислительной сети из множества {UIP}, хранящихся в двумерном массиве памяти L, и после записывания в поле «размер окна» TCP-заголовка ответного пакета сообщений значения Wнач, равное десяти байтам, записывают в заголовок ответного пакета j-й сгенерированный МАС-адрес для i-го IP-адреса из массива памяти GMAC, направляют отправителю ответный пакет сообщений со значениями Wнач, j-го сгенерированного MAC-адреса для i-го IP-адреса из массива памяти GMAC, ложными F номерами портов.1. A way to protect computer networks, which consists in connecting network devices to a computer network and after receiving ARP requests to the i-th unused IP address of the network device of the computer network, form a response packet of messages, write TCP- in the "window size" field header of the response packet messages nach value W equal to ten bytes, taking another message packet, form a response message packet is set in the "window size» TCP-header of the response message value W ud packet is zero bytes, apravlyayut sender generated response message packets, and for blocking attempts to break the connection from the communications packet sender to ignore all incoming message packets before the expiration of the timeout compound, characterized in that the pre-set set {M IP} all i IP-addresses of network computing devices in the network where i = 1, 2, ..., n, and n is the maximum allowable value of the range of IP addresses for a computer network, the set {A IP } of IP addresses of network devices allowed for use in a computer network, where {A IP } ∈ {M IP }, the set {D IP } of IP addresses of network devices prohibited for use in a computer network, where
Figure 00000001
, the set {U IP } of allowed and temporarily unconnected IP addresses of network devices in a computer network from the set {A IP } and the set {R IP } of allowed and connected IP addresses of network devices in a computer network from the set {A IP }, where
Figure 00000002
and
Figure 00000003
, memory array S MAC for storing the read MAC addresses of network devices in the computer network, memory array G MAC for storing the generated MAC addresses, memory array AG for storing the compliance matrix with the i-th IP address of the network device allowed for use in the computer network set {A IP } of j-th formed MAC address from memory array G MAC , set {P} = {1i, 2i, ..., Pi} allowed for use by software P port numbers i IP addresses of network devices of a computer network, two-dimensional storage array s read P allowed for use by the software port numbers used by each i-th IP address of network devices of the network, set {H} = {1i, 2i, ..., Hi} prohibited by the software N port numbers ix network devices of the network , a two-dimensional memory array V for storing N prohibited by the software port numbers used by each i-th IP address of network devices of the computer network, the set {F} = {1i, 2i, ..., Fi} false F port numbers used as with the i-th IP address of the network devices of the computer network from the set {U IP }, a two-dimensional memory array L for storing F false port numbers used by each i-th IP address of the network devices of the computer network from the set {U IP }, and after connection of network devices to the computer network reads the P allowed by the software port numbers ix IP addresses of the network devices of the computer network, remembers the P allowed by the software numbers of the port ix IP addresses of network devices -inflammatory network in the memory a two-dimensional array S, stored IP-address temporarily unconnected network devices in the set {U IP}, form F false port numbers for each i-th IP-addresses of a plurality of {U IP}, what is read from the two-dimensional memory array S numbers allowed for use by software port numbers ix IP-addresses of network devices of the plurality of computer network {U IP} and stored matter allowed to use software port numbers for ix IP-addresses of network devices of computer second network of a plurality of {U IP} in the two-dimensional array of memory L, is read MAC-addresses of the connected network computing devices in the network and storing them in the S MAC memory array, and then generate a random sequence of hexadecimal numbers and generating therefrom J values where J = 1, 2, ..., j, MAC addresses of temporarily unconnected network devices of a computer network, remember generated J values of MAC addresses of temporarily unconnected network devices of a computer network in memory array G MAC and compare generated J values of MAC addresses of times but unconnected network devices of the computer network from the memory array G MAC with the MAC addresses of temporarily unconnected network devices of the computer network from the memory array S MAC , and the j-th MAC address is removed from the memory array G MAC , according to the results of the comparison case, that is, if they do not match, the correspondence to the i-th IP address of the network device from the set {A IP } of the j-th generated MAC address from the memory array G MAC allowed in the computer network is stored in the memory array AG, and then ARP for request any i-th IP address of the network device from the set {M IP } and compare the IP address of the receiver of the ARP request with the IP addresses of the network devices from the set {D IP } of the network devices IP addresses that are prohibited for use in a computer network, and according to the results of the comparison, if the IP address of the recipient of the ARP request matches the IP addresses from the set {D IP } of the network devices' IP addresses that are prohibited for use in the computer network, they ignore the ARP request, and otherwise, that is, if the IP does not match -address of an ARP request with IP addresses from a set The properties {D IP } compare the IP address of the receiver of the ARP request with the IP addresses of network devices from the set {R IP } of the allowed and connected IP addresses of the network devices and by the results of the comparison if the IP address of the receiver of the ARP request matches the IP -adresses from the set {R IP } of allowed and connected IP addresses form a message about the availability of the message receiver node, and otherwise, that is, if the IP address of the recipient of the ARP request does not match the IP addresses from the set {R IP }, compare the recipient's ARP request IP address with the network IP addresses oystv from the set {U IP} temporarily unconnected IP-address and the results of comparison in the case of discrepancy between the IP-addresses of the ARP-request recipient with IP-addresses from the set {U IP} temporarily unconnected IP-address form the message of message packets destination host availability, otherwise, that is, if the IP address of the recipient of the ARP request matches the IP addresses from the set {U IP }, after generating the response message packet, the port numbers for ix IP addresses are written in the response message header of the ARP request recipient networked stroystv computer network of a plurality of {U IP}, stored in the memory a two-dimensional array L, and after the recording in the "window size» TCP-header messages values W nach response packet equal to ten bytes is recorded in the header of the response packet j-th generated MAC -address for the i-th IP address from the memory array G MAC , send to the sender a response packet of messages with the values of W initial , j-th generated MAC address for the i-th IP address from the memory array G MAC , false F port numbers. 2. Способ по п. 1, отличающийся тем, что запоминание в массиве памяти AG соответствия i-му разрешенному для использования в вычислительной сети IP-адресу сетевого устройства из множества {AIP} j-го сформированного МАС-адреса из массива памяти GMAC осуществляют путем записи в ячейку |i,j| массива памяти AG логической единицы.2. The method according to claim 1, characterized in that storing in the memory array AG of compliance with the i-th IP address of a network device from the set {A IP } of the j-th generated MAC address from the memory array G MAC allowed for the computer network carried out by writing to the cell | i, j | array of memory AG logical units. 3. Способ по п. 1, отличающийся тем, что количество Р разрешенных и Н запрещенных для использования программным обеспечением номеров портов i-x сетевых устройств вычислительной сети выбирают в диапазоне от 1 до 65535.3. The method according to p. 1, characterized in that the number of P allowed and N prohibited by the software port numbers i-x network devices of the computer network is chosen in the range from 1 to 65535. 4. Способ по п. 1, отличающийся тем, что запоминание в двумерном массиве памяти S номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети, осуществляют путем записи в ячейку |i,p| массива памяти S логической единицы.4. The method according to claim 1, wherein storing the port numbers used by each i-th IP address of network devices of the computer network in a two-dimensional memory array S is written to the cell | i, p | array of memory S logical units. 5. Способ по п. 1, отличающийся тем, что запоминание в двумерном массиве памяти V номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети, осуществляют путем записи в ячейку |i,h| массива памяти V логической единицы.5. A method according to claim 1, characterized in that the storage in the two-dimensional memory array of V port numbers used by each i-th IP address of network devices of the computer network is performed by writing to the cell | i, h | array of memory V logical units. 6. Способ по п. 1, отличающийся тем, что запоминание в двумерном массиве памяти L номеров портов, используемых каждым i-м IP-адресом сетевых устройств вычислительной сети, осуществляют путем записи в ячейку |i,ƒ| массива памяти L логической единицы.6. The method according to claim 1, wherein storing in the two-dimensional memory array L the port numbers used by each i-th IP address of the network devices of the computer network is performed by writing to the cell | i, | array of memory L logical units.
RU2018120288A 2018-05-31 2018-05-31 Method of protecting computer networks RU2686023C1 (en)

Priority Applications (1)

Application Number Priority Date Filing Date Title
RU2018120288A RU2686023C1 (en) 2018-05-31 2018-05-31 Method of protecting computer networks

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
RU2018120288A RU2686023C1 (en) 2018-05-31 2018-05-31 Method of protecting computer networks

Publications (1)

Publication Number Publication Date
RU2686023C1 true RU2686023C1 (en) 2019-04-23

Family

ID=66314416

Family Applications (1)

Application Number Title Priority Date Filing Date
RU2018120288A RU2686023C1 (en) 2018-05-31 2018-05-31 Method of protecting computer networks

Country Status (1)

Country Link
RU (1) RU2686023C1 (en)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
RU2726900C1 (en) * 2019-12-09 2020-07-16 федеральное государственное казенное военное образовательное учреждение высшего образования "Краснодарское высшее военное орденов Жукова и Октябрьской Революции Краснознаменное училище имени генерала армии С.М. Штеменко" Министерства обороны Российской Федерации Method of protecting computer networks

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
RU2307392C1 (en) * 2006-05-02 2007-09-27 Военная академия связи Method (variants) for protecting computer networks
RU2422892C1 (en) * 2010-04-13 2011-06-27 Государственное образовательное учреждение высшего профессионального образования "Военная академия связи имени С.М. Буденного" Министерства обороны Российской Федерации Method of protecting computer network
US20120023572A1 (en) * 2010-07-23 2012-01-26 Q-Track Corporation Malicious Attack Response System and Associated Method
US20140115706A1 (en) * 2012-10-19 2014-04-24 ZanttZ,Inc. Network infrastructure obfuscation

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
RU2307392C1 (en) * 2006-05-02 2007-09-27 Военная академия связи Method (variants) for protecting computer networks
RU2422892C1 (en) * 2010-04-13 2011-06-27 Государственное образовательное учреждение высшего профессионального образования "Военная академия связи имени С.М. Буденного" Министерства обороны Российской Федерации Method of protecting computer network
US20120023572A1 (en) * 2010-07-23 2012-01-26 Q-Track Corporation Malicious Attack Response System and Associated Method
US20140115706A1 (en) * 2012-10-19 2014-04-24 ZanttZ,Inc. Network infrastructure obfuscation

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
RU2726900C1 (en) * 2019-12-09 2020-07-16 федеральное государственное казенное военное образовательное учреждение высшего образования "Краснодарское высшее военное орденов Жукова и Октябрьской Революции Краснознаменное училище имени генерала армии С.М. Штеменко" Министерства обороны Российской Федерации Method of protecting computer networks

Similar Documents

Publication Publication Date Title
US20210344714A1 (en) Cyber threat deception method and system, and forwarding device
CN111756712B (en) Method for forging IP address and preventing attack based on virtual network equipment
RU2690749C1 (en) Method of protecting computer networks
US8661522B2 (en) Method and apparatus for probabilistic matching to authenticate hosts during distributed denial of service attack
Winter et al. How china is blocking tor
CN110266650B (en) Identification method of Conpot industrial control honeypot
CN113746788A (en) Data processing method and device
Rohatgi et al. A detailed survey for detection and mitigation techniques against ARP spoofing
CN101808097B (en) Method and equipment for preventing ARP attack
Rajendran DNS amplification & DNS tunneling attacks simulation, detection and mitigation approaches
CN114244801B (en) ARP spoofing prevention method and system based on government enterprise gateway
CN112398801A (en) Data processing method and device
KR101593897B1 (en) Network scan method for circumventing firewall, IDS or IPS
RU2686023C1 (en) Method of protecting computer networks
RU2422892C1 (en) Method of protecting computer network
RU2680038C1 (en) Method of computer networks protection
Dulik Network attack using TCP protocol for performing DoS and DDoS attacks
RU2304302C2 (en) Method for processing network packets to detect computer attacks
RU2586840C1 (en) Method of processing network traffic datagrams for hiding corresponding pairs of subscribers of information-telecommunication systems
Fayyaz et al. Using JPCAP to prevent man-in-the-middle attacks in a local area network environment
US20220103582A1 (en) System and method for cybersecurity
RU2716220C1 (en) Method of protecting of computer networks
RU2696330C1 (en) Method of protecting computer networks
US11171915B2 (en) Server apparatus, client apparatus and method for communication based on network address mutation
Alsmadi et al. Network security