CN103905265A

CN103905265A - 一种网络中新增设备的检测方法和装置

Info

Publication number: CN103905265A
Application number: CN201210581037.9A
Authority: CN
Inventors: 何申; 杨凯; 章新斌
Original assignee: China Mobile Communications Group Co Ltd
Current assignee: China Mobile Communications Group Co Ltd
Priority date: 2012-12-27
Filing date: 2012-12-27
Publication date: 2014-07-02
Anticipated expiration: 2032-12-27
Also published as: CN103905265B

Abstract

本发明提供一种网络中新增设备的检测方法及装置，其中方法包括：对网络中的设备进行检查，发现新增设备；对所述新增设备进行漏洞扫描，确认所述新增设备是否存在漏洞；若所述新增设备存在漏洞，调用防火墙对所述新增设备的访问控制策略进行检测，若确认所述漏洞能被外部利用，则发出告警信息。本发明的方案可以避免新发现设备被攻击者从外部利用。

Description

一种网络中新增设备的检测方法和装置

技术领域

本发明涉及通信领域，特别是指一种网络中新增设备的检测方法和装置。

背景技术

为了保护内网的安全，防火墙、漏洞扫描、设备发现等技术是当前常用安全设备。其中防火墙作为网络安全的第一道防线，通常部署在内外网之间，对进出内网的连接进行访问控制；漏洞扫描设备可检测内网主机的脆弱性，提示安全管理人员进行系统升级和针对漏洞的攻击防范；设备发现工具可检测新接入内网的主机，提示安全管理人员对接入主机的合规性进行审查，避免内网信息泄露。除了上述安全设备之外，内网中还经常使用入侵检测系统、安全审计系统、终端安全等设备，各个设备功能单一，独立运行，共同承担内网安全的保护工作。

现有技术中，对内网的安全检测，通常通过防火墙进行进出内网与外网之间的报文检测，其中检测包括入侵检测、防病毒和内容过滤，这些功能对计算资源占用大，会影响防火墙的性能。对进入内网的新增设备的发现和检测，防火墙并不能做到安全保护，设备发现工具只能发现内网的新增设备，但不能对新增设备做到有效的安全检测。

发明内容

本发明要解决的技术问题是提供一种内网新增设备的检测方法和装置，避免新发现设备被攻击者从外部利用。

为解决上述技术问题，本发明的实施例提供一种网络中新增设备的检测方法，包括：

对网络中的设备进行检查，发现新增设备；

对所述新增设备进行漏洞扫描，确认所述新增设备是否存在漏洞；

若所述新增设备存在漏洞，调用防火墙对所述新增设备的访问控制策略进行检测，若确认所述漏洞能被外部利用，则发出告警信息。

其中，发现新增设备的步骤包括：

获取网络的新设备列表；

根据所述新设备列表和网络的已有设备列表，发现新增设备。

其中，所述获取网络的新设备列表的步骤包括：

采集所述网络中交换机的流量信息；所述流量信息包括：所述网络的主机发出的地址解析协议ARP请求报文、ARP请求报文的回应报文以及五元组流量统计信息；

根据所述ARP请求报文或者所述ARP请求报文的回应报文生成所述新设备列表，所述新设备列表中包括：设备的IP地址、MAC地址以及更新时间。

其中，所述获取网络的新设备列表的步骤包括：

利用漏洞扫描工具对所述网络中的设备进行扫描，获取所述新设备列表，所述新设备列表中包括：设备的IP地址、MAC地址以及更新时间。

其中，根据所述新设备列表和网络的已有设备列表，发现新增设备的步骤包括：

从所述新设备列表中提取一个设备的IP地址和所述IP地址对应的MAC地址，如果所述MAC地址首次出现在所述已有设备列表中，，或者当前时间与所述MAC地址在资产列表中的更新时间的时间差超过了预设阈值，则所述MAC地址对应的设备为新增设备。

其中，若所述新增设备存在漏洞，调用防火墙对所述新增设备的访问控制策略进行检测的步骤包括：

将具有漏洞的新增设备的IP地址及该漏洞所对应服务的端口号，发给防火墙，使所述防火墙对所述端口号的访问控制策略进行检测。

本发明的实施例还提供一种网络中新增设备的检测装置，包括：

发现模块，用于对网络中的设备进行检查，发现新增设备；

扫描模块，用于对所述新增设备进行漏洞扫描，确认所述新增设备是否存在漏洞；

告警模块，用于在所述新增设备存在漏洞时，调用防火墙对所述新增设备的访问控制策略进行检测，若确认所述漏洞能被外部利用，则发出告警信息。

其中，所述发现模块包括：

获取模块，用于获取新设备列表；

发现子模块，用于根据所述新设备列表和网络的已有设备列表，发现新增设备。

其中，所述获取模块包括：

采集模块，用于采集所述网络中交换机的流量信息；所述流量信息包括：所述网络的主机发出的地址解析协议ARP请求报文、ARP请求报文的回应报文以及五元组流量统计信息；

分析模块，用于根据所述ARP请求报文或者所述ARP请求报文的回应报文生成所述新设备列表，所述新设备列表中包括：设备的IP地址、MAC地址以及更新时间。

其中，所述获取模块具体用于：利用漏洞扫描工具对所述网络中的设备进行扫描，获取所述新设备列表，所述新设备列表中包括：设备的IP地址、MAC地址以及更新时间。

其中，所述发现子模块具体用于：从所述新设备列表中提取一个设备的IP地址和所述IP地址对应的MAC地址，如果所述MAC地址首次出现在所述已有设备列表中，或者当前时间与所述MAC地址在资产列表中的更新时间的时间差超过了预设阈值，则所述MAC地址对应的设备为新增设备。

其中，所述告警模块具体用于：在所述新增设备存在漏洞时，将具有漏洞的新增设备的IP地址及该漏洞所对应服务的端口号，发给防火墙，使所述防火墙对所述端口号的访问控制策略进行检测，若确认所述漏洞能被外部利用，则发出告警信息。

本发明的上述技术方案的有益效果如下：

上述方案中，通过对网络中的设备进行检查，发现新增设备；对所述新增设备进行漏洞扫描，确认所述新增设备是否存在漏洞；若所述新增设备存在漏洞，调用防火墙对所述新增设备的访问控制策略进行检测，若确认所述漏洞能被外部利用，则发出告警信息；将设备发现、漏洞扫描、防火墙检查组成了一个有机的整体，从而避免新发现设备被攻击者从外部利用。

附图说明

图1为本发明的网络中新增设备的检测方法的流程示意图；

图2为图1所示流程的第一实现方式流程图；

图3为图1所示流程的第二实现方式流程图；

图4为本发明的网络中新增设备的检测装置的结构示意图。

具体实施方式

为使本发明要解决的技术问题、技术方案和优点更加清楚，下面将结合附图及具体实施例进行详细描述。

如图1所示，本发明的实施例提供一种网络中新增设备的检测方法，包括：

步骤11，对网络中的设备进行检查，发现新增设备；

步骤12，对所述新增设备进行漏洞扫描，确认所述新增设备是否存在漏洞；

步骤13，若所述新增设备存在漏洞，调用防火墙对所述新增设备的访问控制策略进行检测，若确认所述漏洞能被外部利用，则发出告警信息。

该实施例将设备发现、漏洞扫描、防火墙检查组成了一个有机的整体，从而避免新发现设备被攻击者从外部利用。

在本发明的另一实施例中，包括上述步骤11－13的基础上，步骤11包括：

步骤111，获取新设备列表；其中，该新设备列表是在该已有设备列表的基础上更新得到的；

步骤112，根据所述新设备列表和网络的已有设备列表，发现新增设备。

其中，上述步骤111的第一种实现方式：

步骤111的第一种实现方式包括：

步骤1111，采集所述网络中交换机的流量信息；所述流量信息包括：所述网络的主机发出的地址解析协议ARP请求报文，该流量信息中还可以进一步包括：ARP请求报文的回应报文，以及基于五元组（源IP地址，源端口，目的IP地址，目的端口，协议类型）的流量统计信息等；

步骤1112，根据所述ARP请求报文或者ARP请求报文的回应报文生成所述新设备列表，所述新设备列表中包括：设备的IP地址、MAC地址以及更新时间等属性信息。

进一步地，上述步骤112包括：

从所述新设备列表中提取一个设备的IP地址和所述IP地址对应的MAC地址，如果所述MAC地址首次出现在所述已有设备列表中，或者当前时间与所述MAC地址在资产列表中的更新时间的时间差超过了预设阈值，则所述MAC地址对应的设备为新增设备。

其中，上述步骤13中：若所述新增设备存在漏洞，将具有漏洞的新增设备的IP地址及该漏洞所对应服务的端口号，发给防火墙，使所述防火墙的配置检查工具对所述新增设备的所述漏洞所对应服务的端口号的访问控制策略进行检测。

下面结合具体的流程说明上述步骤111的第一种实现方式的具体实现流程：

步骤101：采集交换机流量信息，包括但不限于：内网主机发出的ARP请求和ARP回应报文，基于五元组（源IP地址，源端口，目的IP地址，目的端口，协议类型）的流量统计信息；

步骤102：通过分析ARP请求报文，发现新设备；具体的：

首先维护资产列表（本发明的实施例中的资产列表也称作设备列表），所述资产列表包括但不限于：资产IP地址、资产MAC地址、更新时间等设备属性信息，其中，维护资产列表即是对已有资产列表进行更新，得到一新资产列表；当然也可以通过分析ARP请求报文或者ARP回应报文自动生成；

然后从ARP请求报文中提取了一个IP地址和该IP地址对应的MAC地址，如果所述MAC地址第一次出现在已有资产列表中，或者当前时间与所述MAC地址在已有资产列表中的更新时间的时间差超过了设定的阈值，则所述MAC地址对应的资产即为新增设备；反之所述MAC地址对应的资产为已有资产，用当前时间更新资产列表中所述MAC地址对应的更新时间；

步骤103：调用漏扫工具扫描新增设备，包括：利用新增设备的IP地址，生成新的扫描任务，将扫描任务下发到漏扫工具；

步骤104：通过漏洞扫描发现新增设备的漏洞信息，如果所述新增设备存在漏洞则转步骤105，否则结束；

步骤105：调用防火墙配置检查工具；具体包括：将含有漏洞的新设备的IP地址，及该漏洞所对应服务的端口号，发给防火墙配置检查工具；

步骤106：根据防火墙配置检查结果确认漏洞能否被外部利用，如果新设备上存在的漏洞能够被外部利用，则发出高危报警，提示安全管理人员进行系统升级，或调整防火墙策略；如果不能被外部利用，则发出中度报警，提示安全管理人员进行系统升级。

其中，上述步骤111的第二种实现方式：

步骤1113，利用漏洞扫描工具对所述网络中的设备进行扫描，获取所述新设备列表，所述新设备列表中包括：设备的IP地址、MAC地址以及更新时间属性信息。

进一步地，上述步骤112包括：

下面结合具体的流程说明上述步骤111的第二种实现方式的具体实现流程：

步骤201：直接通过漏洞扫描工具发现新设备，包括：通过手动或自动的方式生成扫描任务，扫描范围为内网整个网段；将扫描得到的新资产列表与步骤已有资产列表进行比较；如果一个MAC地址第一次出现，或者扫描时间与所述IP地址在资产列表中的更新时间的时间差超过了设定的阈值，则所述MAC地址对应的资产即为新增设备；反之所述MAC地址对应的资产为已有资产，用扫描时间更新资产列表中所述IP地址对应的更新时间。

步骤202：从漏洞扫描结果中提取新增设备的漏洞信息。如果所述新设备存在漏洞则转步骤107，否则结束；

步骤203：调用防火墙配置检查工具；具体包括：将含有漏洞的新设备的IP地址，及该漏洞所对应服务的端口号，发给防火墙配置检查工具；

步骤204：根据防火墙配置检查结果确认漏洞能否被外部利用，如果新设备上存在的漏洞能够被外部利用，则发出高危报警，提示安全管理人员进行系统升级，或调整防火墙策略；如果不能被外部利用，则发出中度报警，提示安全管理人员进行系统升级。

本发明的上述实施例中，将设备发现、漏洞扫描、防火墙配置检查组成了一个有机的整体。在发现新增设备后，能够将新增设备IP地址信息传送至漏洞扫描模块，并检查该新增设备上是否存在漏洞；对于存在漏洞的新增设备，能够将存在漏洞新增设备的IP地址信息、漏洞对应的端口信息传送至防火墙，判断防火墙是否能够阻止外部对新增设备漏洞的利用，并根据判断结果产生报警信息，从而避免新增设备被攻击者从外部利用；且采用主动扫描（上述步骤111的第二种实现方式）与被动监听（上述步骤111的第一种实现）的相结合的方式检查内网中是否存在新增设备，避免了现有技术中仅依靠主动扫描的不足，这样即使新增设备在两次扫描的间隔中加入到内网中，也能够进行及时发现。

如图4所示，本发明的实施例还提供一种网络中新增设备的检测装置，包括：

发现模块401，用于对网络中的设备进行检查，发现新增设备；

扫描模块402，用于对所述新增设备进行漏洞扫描，确认所述新增设备是否存在漏洞；

告警模块403，用于在所述新增设备存在漏洞时，调用防火墙对所述新增设备的访问控制策略进行检测，若确认所述漏洞能被外部利用，则发出告警信息。

其中，所述发现模块401包括：获取模块，用于获取新设备列表；发现子模块，用于根据所述新设备列表和网络的已有设备列表，发现新增设备。

其中，获取新设备列表的第一种实现方式中，所述获取模块包括：

采集模块，用于采集所述网络中交换机的流量信息；所述流量信息包括：所述网络的主机发出的地址解析协议ARP请求报文；

分析模块，用于根据所述ARP请求报文生成所述新设备列表，所述新设备列表中包括：设备的IP地址、MAC地址以及更新时间属性信息。

相应的，所述发现子模块具体用于：从所述新设备列表中提取一个设备的IP地址和所述IP地址对应的MAC地址，如果所述MAC地址首次出现在所述已有设备列表中，或者当前时间与所述MAC地址在资产列表中的更新时间的时间差超过了预设阈值，则所述MAC地址对应的设备为新增设备。

所述告警模块具体用于：在所述新增设备存在漏洞时，将具有漏洞的新增设备的IP地址及该漏洞所对应服务的端口号，发给防火墙，使所述防火墙的配置检查工具对所述新增设备的所述漏洞所对应服务的端口号的访问控制策略进行检测，若确认所述漏洞能被外部利用，则发出告警信息。

本发明的上述实施例中，采集模块采集交换机流量信息，包括但不限于：内网主机发出的ARP请求和回应报文，基于五元组（源IP地址，源端口，目的IP地址，目的端口，协议类型）的流量统计信息；采集模块201的结果输出到分析模块；分析模块通过对ARP请求报文的分析，检查内网中是否有新增设备，若有输出为新增设备的IP地址。分析模块接收采集模块的输出，并将分析结果输出到扫描模块；扫描模块通过对新发现设备进行漏洞扫描，并将扫描结果输出到防火墙的告警模块（即防火墙配置检查模块）检查当前的防火墙配置策略能否阻止外部对新增设备漏洞的利用；如果新增设备上存在的漏洞能够被外部利用，则发出高危报警，提示安全管理人员进行系统升级，或调整防火墙策略；如果不能被外部利用，则发出中度报警，提示安全管理人员进行系统升级。

在获取新设备列表的第二种实现方式中，所述获取模块具体用于：利用漏洞扫描工具对所述网络中的设备进行扫描，获取所述新设备列表，所述新设备列表中包括：设备的IP地址、MAC地址以及更新时间属性信息；也就是说，直接利用扫描模块通过自动或手动的扫描任务进行新设备发现并扫描新设备的漏洞；

其中，所述告警模块具体用于：在所述新增设备存在漏洞时，将具有漏洞的新增设备的IP地址及该漏洞所对应服务的端口号，发给防火墙，使所述防火墙的配置检查工具对所述新增设备的所述漏洞所对应服务的端口号的访问控制策略进行检测，若确认所述漏洞能被外部利用，则发出告警信息。

具体的，扫描模块通过对设备进行漏洞扫描，发现新增设备，并将有漏洞的新增设备的IP地址以及该漏洞所对应服务的端口号输出到防火墙的告警模块（即防火墙配置检查模块）检查当前的防火墙配置策略能否阻止外部对新增设备漏洞的利用，如果新增设备上存在的漏洞能够被外部利用，则发出高危报警，提示安全管理人员进行系统升级，或调整防火墙策略；如果不能被外部利用，则发出中度报警，提示安全管理人员进行系统升级。

本发明的上述装置同样将设备发现、漏洞扫描、防火墙配置检查组成了一个有机的整体。在发现新增设备后，能够将新增设备IP地址信息传送至漏洞扫描模块，并检查该新增设备上是否存在漏洞；对于存在漏洞的新增设备，能够将存在漏洞新增设备的IP地址信息、漏洞对应的端口信息传送至防火墙，判断防火墙是否能够阻止外部对新增设备漏洞的利用，并根据判断结果产生报警信息，从而避免新增设备被攻击者从外部利用；且采用主动扫描与被动监听的相结合的方式检查内网中是否存在新增设备，避免了现有技术中仅依靠主动扫描的不足，这样即使新增设备在两次扫描的间隔中加入到内网中，也能够进行及时发现。

以上所述是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明所述原理的前提下，还可以作出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims

1.一种网络中新增设备的检测方法，其特征在于，包括：

对网络中的设备进行检查，发现新增设备；

2.根据权利要求1所述的检测方法，其特征在于，发现新增设备的步骤包括：

获取网络的新设备列表；

3.根据权利要求2所述的检测方法，其特征在于，所述获取网络的新设备列表的步骤包括：

4.根据权利要求2所述的检测方法，其特征在于，所述获取网络的新设备列表的步骤包括：

5.根据权利要求3或4所述的检测方法，其特征在于，根据所述新设备列表和网络的已有设备列表，发现新增设备的步骤包括：

6.根据权利要求1所述的检测方法，其特征在于，若所述新增设备存在漏洞，调用防火墙对所述新增设备的访问控制策略进行检测的步骤包括：

7.一种网络中新增设备的检测装置，其特征在于，包括：

发现模块，用于对网络中的设备进行检查，发现新增设备；

8.根据权利要求7所述的检测装置，其特征在于，所述发现模块包括：

获取模块，用于获取新设备列表；

9.根据权利要求8所述的检测装置，其特征在于，所述获取模块包括：

10.根据权利要求8所述的检测装置，其特征在于，所述获取模块具体用于：利用漏洞扫描工具对所述网络中的设备进行扫描，获取所述新设备列表，所述新设备列表中包括：设备的IP地址、MAC地址以及更新时间。

11.根据权利要求9或10所述的检测装置，其特征在于，所述发现子模块具体用于：从所述新设备列表中提取一个设备的IP地址和所述IP地址对应的MAC地址，如果所述MAC地址首次出现在所述已有设备列表中，，或者当前时间与所述MAC地址在资产列表中的更新时间的时间差超过了预设阈值，则所述MAC地址对应的设备为新增设备。

12.根据权利要求7所述的检测装置，其特征在于，所述告警模块具体用于：在所述新增设备存在漏洞时，将具有漏洞的新增设备的IP地址及该漏洞所对应服务的端口号，发给防火墙，使所述防火墙对所述端口号进行检测，若确认所述漏洞能被外部利用，则发出告警信息。