CN107864164B - 基于ip盗用与mac地址篡改的联动报警装置 - Google Patents

Abstract

本发明提供一种基于IP盗用与MAC地址篡改的联动报警装置，包括地址异常检测中心、报警级别处理中心、安全处理中心、命令执行判定器、无线传输中心和移动设备终端处理器。本发明提供的基于IP盗用与MAC地址篡改的联动报警装置具有以下优点：本发明中，采用报警级别处理中心对警报程度进行等级划分，并且与车间管理系统建立通信连接，更好地解决了船舶制造车间网络接入时，使用非法手段进行IP地址盗用和MAC地址篡改不能及时报警反馈的问题，大大提高非法接入的处理效率。

Description

基于IP盗用与MAC地址篡改的联动报警装置

技术领域

本发明属于非法入侵异常报警技术领域，具体涉及一种基于IP盗用与MAC地址篡改的联动报警装置。

背景技术

当前船舶制造车间移动网络接入控制中，IP地址盗用现象十分普遍，并且现在许多终端都支持软件修改MAC地址，非法用户可以通过将自己所用网络设备的MAC地址改为合法用户MAC地址的方法，从而达到MAC地址“欺骗”的目的，进而成功通过交换机的检查，最终非法访问网络资源。

对目前网络防范技术的研究，IP地址盗用和MAC地址篡改技术相对成熟，虽然通过现有技术对于非法入侵的检测成功率较高，但是，目前存在的主要问题为：当成功检测到船舶制造车间移动网络接入有异常IP地址或MAC地址进行验证登录时，不能及时进行报警反馈，因此，管理人员不能及时补救，给入侵者充足的时间盗取数据，从而造成严重安全问题。

发明内容

针对现有技术存在的缺陷，本发明提供一种基于IP盗用与MAC地址篡改的联动报警装置，可有效解决上述问题。

本发明采用的技术方案如下：

本发明提供一种基于IP盗用与MAC地址篡改的联动报警装置，包括地址异常检测中心、报警级别处理中心、安全处理中心、命令执行判定器、无线传输中心和移动设备终端处理器；

所述地址异常检测中心用于对每一个申请接入船舶制造车间网络的设备进行异常性检测，若检测结果为正常，则同意接入车间网络；若检测结果为异常，则将异常性检测结果传输到报警级别处理中心；

所述报警级别处理中心用于对申请接入设备的危险级别进行判定，所述报警级别处理中心包括入侵事件统计分析中心、入侵程度判定中心和报警级别确定中心；

所述入侵事件统计分析中心用于对本次入侵事件进行统计分析，得到统计分析结果，并将所述统计分析结果传输给所述入侵程度判定中心；

所述入侵程度判定中心预先将船舶车间非法网络入侵危害划分为N个入侵危害等级，然后根据所述统计分析结果，判定出本次入侵事件所对应的本次入侵危害等级，并将判定结果传输给所述报警级别确定中心；

所述报警级别确定中心预先将报警级别划分为N个报警级别，并建立报警级别与入侵危害等级的映射关系表，每个报警级别唯一对应一个所述入侵危害等级；然后，所述报警级别确定中心根据所述入侵程度判定中心判定的本次入侵危害等级，查找所述映射关系表，查找到与本次入侵危害等级对应的本次报警级别，并将所述本次报警级别传输给所述安全处理中心；

所述安全处理中心与所述报警级别处理中心通过车间有线网络相连，所述安全处理中心包括灯光显示器和判断处理器；

所述灯光显示器，配置N个不同颜色的警示灯，每种颜色的警示灯对应一种报警级别；当所述灯光显示器接收到所述报警级别处理中心下发的本次报警级别时，所述灯光显示器点亮对应的警示灯；

所述判断处理器，配置N种阻断策略命令模块，每种阻断策略命令模块的输入端与对应的警示灯连接，当灯光显示器点亮对应的警示灯时，所述判断处理器执行对应的阻断策略命令模块，所述阻断策略命令模块生成阻断策略消息，并传达给阻断终端，由阻断终端对本次入侵事件进行入侵阻断处理；

所述命令执行判定器，用于判定所述判断处理器生成的阻断策略消息是否正常传达给阻断终端，如果未传达，则所述命令执行判定器重新生成本次入侵事件阻断命令，并将所述本次入侵事件阻断命令通过所述无线传输中心下发给所述移动设备终端处理器；如果已传达，则结束本次入侵事件处理流程；

所述移动设备终端处理器，用于通过所述无线传输中心，接收所述命令执行判定器下发的本次入侵事件阻断命令，然后，所述移动设备终端处理器直接操作所述判断处理器的对应的阻断策略命令模块，强制使所述阻断策略命令模块生成阻断策略消息，并传达给阻断终端，由阻断终端对本次入侵事件进行入侵阻断处理，至此结束本次入侵事件处理流程。

优选的，所述N个入侵危害等级为三个，按从高到低顺序，分别为入侵危害严重、入侵危害比较严重和入侵危害不大。

优选的，所述N个报警级别为三个，按从高到低顺序，分别为高级警告、中级警告和低级警告。

优选的，所述警示灯的数量为三个，按程度从高到低顺序，分别为：红灯、黄灯和蓝灯。

优选的，所述阻断策略命令模块包括三种，按程度从高到低顺序，分别为：永久阻断命令模块、阻断一个月命令模块和阻断本次命令模块。

优选的，所述地址异常检测中心包括IP地址异常检测模块和MAC地址异常检测模块。

优选的，所述IP地址异常检测模块具体用于：选用端对端方案，在报文发送端添加签名，报文接收端根据该签名来判别报文是否真实。

优选的，所述MAC地址异常检测模块具体用于：通过检测同一个源物理地址发出的信标帧中的序列控制字段的内容是否连续，进而识别是否有MAC地址欺骗攻击。

本发明提供的基于IP盗用与MAC地址篡改的联动报警装置具有以下优点：

本发明中，采用报警级别处理中心对警报程度进行等级划分，并且与车间管理系统建立通信连接，更好地解决了船舶制造车间网络接入时，使用非法手段进行IP地址盗用和MAC地址篡改不能及时报警反馈的问题，大大提高非法接入的处理效率。

附图说明

图1是本发明联动报警装置的整体结构示意图；

图2是本发明安全处理中心的结构示意图；

图3是本发明入侵报警装置的工作原理图。

图中：1、地址异常检测中心；2、报警级别处理中心；21、入侵事件统计分析中心；22、入侵程度判定中心；23、报警级别确定中心；3、安全处理中心；31、灯光显示器；311、红灯；312、黄灯；313、蓝灯；32、判断处理器；321、永久阻断命令模块；322、阻断一个月命令模块；323、阻断本次命令模块；4、命令执行判定器；5、无线传输中心；6、移动设备终端处理器。

具体实施方式

为了使本发明所解决的技术问题、技术方案及有益效果更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅用以解释本发明，并不用于限定本发明。

当前，船舶制造车间网络非法侵入报警技术不够完善，对于IP地址盗用或MAC地址修改所造成的破坏分析不够透彻，不能有效进行报警级别的划分，不能进行不同报警等级的标识。

当前，车间管理系统与报警技术的衔接不够紧密，当车间管理系统无法自动进行报警判别以及做出正确操作时，不能把信息及时反馈给管理人员，管理人员有时不能及时补救，给入侵者充足的时间盗取数据，造成严重安全问题。

基于此，本发明提供一种基于IP盗用与MAC地址篡改的联动报警装置，属于船舶制造车间移动网络接入身份认证技术领域，更具体的说，涉及在认证时一种非法入侵异常的报警技术。

参考图1，基于IP盗用与MAC地址篡改的联动报警装置，包括地址异常检测中心、报警级别处理中心、安全处理中心、命令执行判定器、无线传输中心和移动设备终端处理器。

其中，地址异常检测中心和报警级别处理中心用于对入侵进行拦截分析处理；安全处理中心与移动设备终端处理器通过无线传输中心建立连接，用于对入侵做出处理。

地址异常检测中心附有异常检验算法，提供非法IP及MAC的检测监控。没有问题的IP及MAC地址的设备成功接入车间网络，有问题的触发报警装置。

所述报警级别处理中心为本装置的核心。本部分包括入侵危害分类和报警级别判定。所述入侵危害分类根据非法入侵程度分为入侵危害严重、入侵危害比较严重、入侵危害不大三类，所述报警级别判定根据对非法入侵程度分别对应三种警告类型，分别是高级警告、中级警告、低级警告。

所述安全处理中心为下达命令的设备，包括警告灯屏幕显示、判断处理器自动判断进行命令下达。与报警级别处理中心通过网络连接。警告灯显示一方面将报警级别在显示器中显示，根据所述三种警告类型，分别对应红灯、黄灯、蓝灯。另一方面将报警级别传达给中心处理器。所述判断处理器根据报警级别自动做出判断，判断分为永久阻止此IP或MAC地址设备连接，阻断一个月本次IP或MAC地址设备连接和只阻止本次IP或MAC地址设备连接。

所述无线传输中心是将安全处理中心未能及时做出判断的警报通过无线网络传输给管理员移动设备终端处理器。

所述移动设备终端处理器通过无线传输中心与所述安全处理中心相连接。在安全处理中心未能在规定时间内做出相应阻止反应时，安全处理中心自动通过无线传输中心对管理员所携带的移动设备终端处理器进行呼叫，使得管理员手动操作命令执行判定器进行阻断处理。

下面对各部分详细介绍：

(一)地址异常检测中心

所述地址异常检测中心用于对每一个申请接入船舶制造车间网络的设备进行异常性检测，若检测结果为正常，则同意接入车间网络；若检测结果为异常，则将异常性检测结果传输到报警级别处理中心。

地址异常检测中心附有异常检验算法，提供非法IP及MAC的检测监控。对正常的IP及MAC地址的设备，允许其成功接入车间网络，对异常的IP及MAC地址的设备，触发报警装置。

具体的，所述地址异常检测中心包括IP地址异常检测模块和MAC地址异常检测模块。

所述IP地址异常检测模块具体用于：IP地址盗用监测技术选用端对端方案，能够使报文接收端获取报文时判别其源地址的真实性，也就是在报文发送端添加签名，报文接收端可以根据该签名来判别报文是否真实，报文在中间网络上则无法被判别是否真实。报文接收端可以是一个自治域，也可以是一台主机，也就是说，报文接收端是各种粒度的。端对端方案不仅可以用于制止带有伪造源地址攻击，还可以用于确保源地址的真实性。

所述MAC地址异常检测模块具体用于：针对无线局域网当中常见的MAC地址欺骗攻击的规则设计如下：802.11协议中是由网卡内部直接设置数据帧头中的序列控制内容，无法随意改变，无线网络中的非法用户，通过调用Ridiate和libnet函数库可以伪造802.11数据帧头和IP层及以上的数据帧头，这样就可以通过检测同一个源物理地址发出的信标帧中的序列控制字段的内容是不是连续，来识别是否有MAC地址欺骗攻击。

(二)报警级别处理中心

报警级别处理中心为本装置的核心。所述报警级别处理中心用于对申请接入设备的危险级别进行判定，所述报警级别处理中心包括入侵事件统计分析中心、入侵程度判定中心和报警级别确定中心；

所述入侵事件统计分析中心用于对本次入侵事件进行统计分析，得到统计分析结果，并将所述统计分析结果传输给所述入侵程度判定中心；具体的，入侵事件统计分析中心可以根据入侵事件的具体类型，入侵事件使用的IP地址，入侵事件的MAC地址，入侵事件入侵的具体对象，以及入侵事件再次入侵系统的可能性分析，判断入侵程度。例如：(1)可以根据伪造目的IP或MAC地址所拥有的权限判定，所伪造的地址权限越高，则入侵危险程度越高。(2)根据伪造地址后，目标侵入的系统安全级别判定，系统安全级别越高的(中心数据管理系统)判定为入侵危害严重、安全级别相对较低(一些派工系统)判定侵害程度一般。(3)可根据攻击入侵的次数以及频率判定，次数或频率高的入侵危险程度高。

所述入侵程度判定中心预先将船舶车间非法网络入侵危害划分为N个入侵危害等级，例如，按从高到低顺序，分别为入侵危害严重、入侵危害比较严重和入侵危害不大三个入侵危害等级，然后根据所述统计分析结果，判定出本次入侵事件所对应的本次入侵危害等级，并将判定结果传输给所述报警级别确定中心；

所述报警级别确定中心预先将报警级别划分为N个报警级别，并建立报警级别与入侵危害等级的映射关系表，每个报警级别唯一对应一个所述入侵危害等级；例如，N个报警级别为三个，按从高到低顺序，分别为高级警告、中级警告和低级警告。高级警告、中级警告和低级警告，分别对应入侵危害严重、入侵危害比较严重和入侵危害不大三个入侵危害等级。然后，所述报警级别确定中心根据所述入侵程度判定中心判定的本次入侵危害等级，查找所述映射关系表，查找到与本次入侵危害等级对应的本次报警级别，并将所述本次报警级别传输给所述安全处理中心。

因此，入侵程度判定中心将船舶车间非法网络入侵危害分为三种，入侵危害严重、入侵危害比较严重、入侵危害不大。根据三种危害程度分别对应报警级别确定中心中的高级警告、中级警告、低级警告。并且与下述灯光显示器中的红灯311、黄灯312、蓝灯313分别对应连接。

(三)安全处理中心

配合图2所示，所述安全处理中心与所述报警级别处理中心通过车间有线网络相连，所述安全处理中心包括灯光显示器和判断处理器；

所述灯光显示器，是一种专为船舶车间报警设计的灯光显示器，配置N个不同颜色的警示灯，每种颜色的警示灯对应一种报警级别；例如，警示灯的数量为三个，按程度从高到低顺序，分别为：红灯、黄灯和蓝灯。当所述灯光显示器接收到所述报警级别处理中心下发的本次报警级别时，所述灯光显示器点亮对应的警示灯；

所述判断处理器，配置N种阻断策略命令模块，例如，阻断策略命令模块包括三种，按程度从高到低顺序，分别为：永久阻断命令模块、阻断一个月命令模块和阻断本次命令模块。每种阻断策略命令模块的输入端与对应的警示灯连接，当灯光显示器点亮对应的警示灯时，所述判断处理器执行对应的阻断策略命令模块，所述阻断策略命令模块生成阻断策略消息，并传达给阻断终端，由阻断终端对本次入侵事件进行入侵阻断处理；可见，在实施例中，灯光显示器中的红灯、黄灯、蓝灯既与上述报警级别确定中心对应，还与判断处理器中的永久阻断命令模块、阻断一个月命令模块、阻断本次命令模块一一对应连接。

(四)命令执行判定器

所述命令执行判定器，设置有判定命令是否执行程序，并且通过无线网络与移动设备终端处理器数据交换。

命令执行判定器，具体用于判定所述判断处理器生成的阻断策略消息是否正常传达给阻断终端，如果由于某些原因未能自动传达，则所述命令执行判定器重新生成本次入侵事件阻断命令，并将所述本次入侵事件阻断命令通过所述无线传输中心下发给所述移动设备终端处理器；如果已传达，则结束本次入侵事件处理流程；

(五)移动设备终端处理器和无线传输中心

所述移动设备终端处理器，用于通过所述无线传输中心，接收所述命令执行判定器下发的本次入侵事件阻断命令，一般通过自动弹出信息或语音呼叫的方式提醒中心管理人员，然后，所述移动设备终端处理器直接操作所述判断处理器的对应的阻断策略命令模块，强制使所述阻断策略命令模块生成阻断策略消息，并传达给阻断终端，由阻断终端对本次入侵事件进行入侵阻断处理。在移动设备终端处理器进入入侵阻断处理后，命令执行判定器继续进行命令是否传达判定，若判定命令已经传达则停止工作。如果命令仍未传达，则继续重复上述步骤操作，直到命令进行传达处理。至此结束本次入侵事件处理流程。

本发明提供的基于IP盗用与MAC地址篡改的联动报警装置具有以下优点：

本发明中，采用报警级别处理中心对警报程度进行等级划分，并且与车间管理系统建立通信连接，更好地解决了船舶制造车间网络接入时，使用非法手段进行IP地址盗用和MAC地址篡改不能及时报警反馈的问题，大大提高非法接入的处理效率。

本发明提供的基于IP盗用与MAC地址篡改的联动报警装置具有以下优点：

本发明中，采用报警级别处理中心对警报程度进行等级划分，并且与车间管理系统建立通信连接，更好地解决了船舶制造车间网络接入时，使用非法手段进行IP地址盗用和MAC地址篡改不能及时报警反馈的问题，大大提高非法接入的处理效率。

在以上的描述中阐述了很多具体细节以便于充分理解本发明。但是以上描述仅是本发明的较佳实施例而已，本发明能够以很多不同于在此描述的其它方式来实施，因此本发明不受上面公开的具体实施的限制。同时任何熟悉本领域技术人员在不脱离本发明技术方案范围情况下，都可利用上述揭示的方法和技术内容对本发明技术方案做出许多可能的变动和修饰，或修改为等同变化的等效实施例。凡是未脱离本发明技术方案的内容，依据本发明的技术实质对以上实施例所做的任何简单修改、等同变化及修饰，均仍属于本发明技术方案保护的范围内。

Claims (4)

1.一种基于IP盗用与MAC地址篡改的联动报警装置，其特征在于，包括地址异常检测中心、报警级别处理中心、安全处理中心、命令执行判定器、无线传输中心和移动设备终端处理器；

所述地址异常检测中心用于对每一个申请接入船舶制造车间网络的设备进行异常性检测，若检测结果为正常，则同意接入车间网络；若检测结果为异常，则将异常性检测结果传输到报警级别处理中心；

所述报警级别处理中心用于对申请接入设备的危险级别进行判定，所述报警级别处理中心包括入侵事件统计分析中心、入侵程度判定中心和报警级别确定中心；

所述入侵事件统计分析中心用于对本次入侵事件进行统计分析，得到统计分析结果，并将所述统计分析结果传输给所述入侵程度判定中心；

所述入侵程度判定中心预先将船舶车间非法网络入侵危害划分为N个入侵危害等级，然后根据所述统计分析结果，判定出本次入侵事件所对应的本次入侵危害等级，并将判定结果传输给所述报警级别确定中心；

所述报警级别确定中心预先将报警级别划分为N个报警级别，并建立报警级别与入侵危害等级的映射关系表，每个报警级别唯一对应一个所述入侵危害等级；然后，所述报警级别确定中心根据所述入侵程度判定中心判定的本次入侵危害等级，查找所述映射关系表，查找到与本次入侵危害等级对应的本次报警级别，并将所述本次报警级别传输给所述安全处理中心；

所述安全处理中心与所述报警级别处理中心通过车间有线网络相连，所述安全处理中心包括灯光显示器和判断处理器；

所述灯光显示器，配置N个不同颜色的警示灯，每种颜色的警示灯对应一种报警级别；当所述灯光显示器接收到所述报警级别处理中心下发的本次报警级别时，所述灯光显示器点亮对应的警示灯；

所述判断处理器，配置N种阻断策略命令模块，每种阻断策略命令模块的输入端与对应的警示灯连接，当灯光显示器点亮对应的警示灯时，所述判断处理器执行对应的阻断策略命令模块，所述阻断策略命令模块生成阻断策略消息，并传达给阻断终端，由阻断终端对本次入侵事件进行入侵阻断处理；

所述命令执行判定器，用于判定所述判断处理器生成的阻断策略消息是否正常传达给阻断终端，如果未传达，则所述命令执行判定器重新生成本次入侵事件阻断命令，并将所述本次入侵事件阻断命令通过所述无线传输中心下发给所述移动设备终端处理器；如果已传达，则结束本次入侵事件处理流程；

所述移动设备终端处理器，用于通过所述无线传输中心，接收所述命令执行判定器下发的本次入侵事件阻断命令，然后，所述移动设备终端处理器直接操作所述判断处理器的对应的阻断策略命令模块，强制使所述阻断策略命令模块生成阻断策略消息，并传达给阻断终端，由阻断终端对本次入侵事件进行入侵阻断处理，至此结束本次入侵事件处理流程；

所述阻断策略命令模块包括三种，按程度从高到低顺序，分别为：永久阻断命令模块、阻断一个月命令模块和阻断本次命令模块；

所述地址异常检测中心包括IP地址异常检测模块和MAC地址异常检测模块；

所述IP地址异常检测模块具体用于：选用端对端方案，在报文发送端添加签名，报文接收端根据该签名来判别报文是否真实；

所述MAC地址异常检测模块具体用于：通过检测同一个源物理地址发出的信标帧中的序列控制字段的内容是否连续，进而识别是否有MAC地址欺骗攻击；

其中，地址异常检测中心和报警级别处理中心用于对入侵进行拦截分析处理；安全处理中心与移动设备终端处理器通过无线传输中心建立连接，用于对入侵做出处理；

地址异常检测中心附有异常检验算法，提供非法IP及MAC的检测监控；没有问题的IP及MAC地址的设备成功接入车间网络，有问题的触发报警装置；

所述报警级别处理中心包括入侵危害分类和报警级别判定；所述入侵危害分类根据非法入侵程度分为入侵危害严重、入侵危害比较严重、入侵危害不大三类，所述报警级别判定根据对非法入侵程度分别对应三种警告类型，分别是高级警告、中级警告、低级警告；

所述安全处理中心为下达命令的设备，包括警告灯屏幕显示、判断处理器自动判断进行命令下达；与报警级别处理中心通过网络连接；将报警级别在显示器中显示，根据所述三种警告类型，分别对应红灯、黄灯、蓝灯；同时将报警级别传达给判决处理器；所述判断处理器根据报警级别自动做出判断，判断分为永久阻止此IP或MAC地址设备连接，阻断一个月本次IP或MAC地址设备连接和只阻止本次IP或MAC地址设备连接；

所述无线传输中心是将安全处理中心未能及时做出判断的警报通过无线网络传输给管理员移动设备终端处理器；

所述移动设备终端处理器通过无线传输中心与所述安全处理中心相连接；在安全处理中心未能在规定时间内做出相应阻止反应时，安全处理中心自动通过无线传输中心对管理员所携带的移动设备终端处理器进行呼叫，使得管理员手动操作命令执行判定器进行阻断处理；

地址异常检测中心附有异常检验算法，提供非法IP及MAC的检测监控；对正常的IP及MAC地址的设备，允许其成功接入车间网络，对异常的IP及MAC地址的设备，触发报警装置；

所述IP地址异常检测模块具体用于：在报文发送端添加签名，报文接收端可以根据该签名来判别报文是否真实，报文在中间网络上则无法被判别是否真实；报文接收端可以是一个自治域，也可以是一台主机，也就是说，端对端方案不仅可以用于制止带有伪造源地址攻击，还可以用于确保源地址的真实性；

所述MAC地址异常检测模块具体用于：针对无线局域网当中MAC地址欺骗攻击的规则设计如下：802.11协议中是由网卡内部直接设置数据帧头中的序列控制内容，无法随意改变，无线网络中的非法用户，通过调用Ridiate和libnet函数库可以伪造802.11数据帧头和IP层及以上的数据帧头，这样就可以通过检测同一个源物理地址发出的信标帧中的序列控制字段的内容是不是连续，来识别是否有MAC地址欺骗攻击。

2.根据权利要求1所述的基于IP盗用与MAC地址篡改的联动报警装置，其特征在于，所述N个入侵危害等级为三个，按从高到低顺序，分别为入侵危害严重、入侵危害比较严重和入侵危害不大。

3.根据权利要求1所述的基于IP盗用与MAC地址篡改的联动报警装置，其特征在于，所述N个报警级别为三个，按从高到低顺序，分别为高级警告、中级警告和低级警告。

4.根据权利要求1所述的基于IP盗用与MAC地址篡改的联动报警装置，其特征在于，所述警示灯的数量为三个，按程度从高到低顺序，分别为：红灯、黄灯和蓝灯。

Images