CN110022303A - Arp双向防御系统及方法 - Google Patents

Abstract

本发明公开了ARP双向防御系统及方法，涉及ARP防御技术领域。本发明包括：包含网关ARP包过滤模块的网关服务器以及若干设有主机ARP包过滤模块的主机；若干所述主机与所述网关服务器连接并主动获取网关服务器的网关MAC；所述网关服务器内还设置网关ARP缓存映射表；所述网关ARP缓存映射表内存储预设时间阈值内经网关服务器向所述主机发送的ARP请求包以及ARP应答包。本发明通过在网关服务器内设置网关ARP包过滤模块，先通过网关ARP包过滤模块检索欺骗记录表是否存在ARP报文内的IP地址以及MAC地址，用于表面监测恶意攻击源主机；然后通过网关ARP包过滤模块鉴别ARP报文中异常ARP报文并做异常标记，高效剔除进行欺骗性攻击的源主机，提高安全性。

Description

ARP双向防御系统及方法

技术领域

本发明属于ARP防御技术领域，特别是涉及一种ARP双向防御系统及方法。

背景技术

局域网中的ARP攻击问题一直难以得到根本解决，原因在于目前多种ARP防范措施都有各自的局限性。ARP个人防火墙不能保证获取的网关一定正确，而且无法防御对网关的攻击；VLAN和交换机端口绑定没有对网关的任何保护，不管如何细分VLAN，网关一旦被攻击，照样会造成全网上网的掉线和瘫痪，而且管理死板成本高；双绑措施防范能力有限，管理太麻烦。

本发明提供一种ARP双向防御系统及方法，致力于解决现有的ARP受攻击时防御能力差的问题。

发明内容

本发明的目的在于提供ARP双向防御系统及方法，通过在网关服务器内设置网关ARP包过滤模块，并通过网关ARP包过滤模块对比网关ARP缓存映射表过滤出异常ARP报文；同时主机内设置标记识别单元用于识别异常ARP报文并通过异常报文处理模块进行鉴别源主机是否是攻击欺骗主机，实现ARP系统的安全高效防御，解决了现有的ARP受攻击时防御能力差的问题。

为解决上述技术问题，本发明是通过以下技术方案实现的：

本发明为ARP双向防御系统，包括：包含网关ARP包过滤模块的网关服务器以及若干设有主机ARP包过滤模块的主机；若干所述主机与所述网关服务器连接并主动获取网关服务器的网关MAC；

所述网关服务器内还设置网关ARP缓存映射表；所述网关ARP缓存映射表内存储预设时间阈值内经网关服务器向所述主机发送的ARP请求包以及ARP应答包；

所述网关ARP包过滤模块统计网关ARP缓存映射表内来自同一IP地址的ARP报文的重复次数；所述网关ARP包过滤模块对比所述重复次数与重复阈值过滤异常ARP报文并为异常ARP报文作异常标记；

所述主机ARP包过滤模块内设置标记识别单元；所述标记识别单元用于过滤识别网关服务器转发的异常ARP报文；

所述主机内还包括异常报文处理模块；

若所述异常报文为ARP请求包，则所述异常报文处理模块从异常报文中获取源主机的IP地址以及MAC地址；所述异常报文处理模块根据源主机的IP地址以及MAC地址产生ARP请求包并经网关服务器转发至源主机；若网关服务器无法获得源主机的ARP应答包，则将源主机记录在欺骗记录表；

若所述异常报文为ARP应答包，则所述异常报文处理模块对比主机ARP缓存映射表是否有与源地址对应的IP地址以及MAC地址，若不存在，所述主机回传源地址的IP地址以及MAC地址至网关服务器，所述网关服务器将源主机记录在欺骗记录表。

优选地，所述欺骗记录表内存储源主机的IP地址和MAC地址；所述网关ARP包过滤模块接收ARP报文后，先检索欺骗记录表内是否存在ARP报文内的IP地址和MAC地址，若存在则不进行转发。

优选地，所述网关ARP缓存映射表内存储经所述网关处理器转发的主机的IP地址和MAC地址的转发记录，所述转发记录均带有时间戳，所述时间戳到达所述时间阈值后，自动清楚对应的转发记录。

ARP双向防御方法，包括如下过程：

步骤一：所述网关服务器接收ARP报文后提取源主机的IP地址以及MAC地址；

步骤二：通过网关ARP包过滤模块检索网关ARP缓存映射表内是否存在源主机的IP地址以及MAC地址；若存才，则不进行转发；若不存在，则执行步骤三；

步骤三：所述网关ARP包过滤模块统计网关ARP缓存映射表内与源主机相同IP地址以及MAC地址的重复数量；

步骤四：判断重复数量是否超过重复次数；若是，则将当前ARP报文标记为ARP报文并执行步骤五；若否，则直接执行步骤五；

步骤五：网关服务器转发ARP报文；

步骤六：主机通过标记识别单元识别ARP报文判断是否为异常ARP报文；若是，则执行步骤七；若否，则正常处理ARP报文；

步骤七：所述异常报文处理模块判断异常报文是否为ARP请求包，若是，则执行步骤八；若否，则执行步骤九；

步骤八；主机根据IP地址以及MAC地址向源主机发送ARP请求包，若接收到源主机的ARP应答包，则存储ARP应答包内的IP地址以及MAC地址至主机ARP缓存映射表；若没有接收到ARP应答包，则网关服务器将源主机记录在欺骗记录表；

步骤九：异常报文处理模块对比主机ARP缓存映射表是否有与源地址对应的IP地址以及MAC地址，若不存在，所述主机回传源地址的IP地址以及MAC地址至网关服务器，所述网关服务器将源主机记录在欺骗记录表。

优选地，步骤步骤六中的正常处理ARP报文具体包括如下：

若ARP报文为ARP请求包，则主机存储ARP请求包内的IP地址以及MAC地址并存户至主机ARP缓存映射表内并回传对应的ARP应答包至源地址；

若ARP报文为ARP应答包，则主机存储ARP应答包内的IP地址以及MAC地址并存户至主机ARP缓存映射表内。

本发明具有以下有益效果：

1、本发明通过在网关服务器内设置网关ARP包过滤模块，先通过网关ARP包过滤模块检索欺骗记录表是否存在ARP报文内的IP地址以及MAC地址，用于表面监测恶意攻击源主机；然后通过网关ARP包过滤模块鉴别ARP报文中异常ARP报文并做异常标记，高效剔除进行欺骗性攻击的源主机，提高安全性。

2、本发明通过主机内设置标记识别单元用于鉴别网关服务器传递的ARP报文中的异常ARP报文，并通过异常报文处理模块对异常ARP报文进行防御处理，降低主机被攻击的频率，提高安全防御性。

当然，实施本发明的任一产品并不一定需要同时达到以上所述的所有优点。

附图说明

为了更清楚地说明本发明实施例的技术方案，下面将对实施例描述所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明的ARP双向防御系统的结构示意图；

图2为别发明的ARP双向防御方法的流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

请参阅图1所示，本发明为ARP双向防御系统，包括：包含网关ARP包过滤模块的网关服务器以及若干设有主机ARP包过滤模块的主机；若干主机与网关服务器连接并主动获取网关服务器的网关MAC；

网关服务器内还设置网关ARP缓存映射表；网关ARP缓存映射表内存储预设时间阈值内经网关服务器向主机发送的ARP请求包以及ARP应答包；

网关ARP包过滤模块统计网关ARP缓存映射表内来自同一IP地址的ARP报文的重复次数；网关ARP包过滤模块对比重复次数与重复阈值过滤异常ARP报文并为异常ARP报文作异常标记；

主机ARP包过滤模块内设置标记识别单元；标记识别单元用于过滤识别网关服务器转发的异常ARP报文；

主机内还包括异常报文处理模块；

若异常报文为ARP请求包，则异常报文处理模块从异常报文中获取源主机的IP地址以及MAC地址；异常报文处理模块根据源主机的IP地址以及MAC地址产生ARP请求包并经网关服务器转发至源主机；若网关服务器无法获得源主机的ARP应答包，则将源主机记录在欺骗记录表；

若异常报文为ARP应答包，则异常报文处理模块对比主机ARP缓存映射表是否有与源地址对应的IP地址以及MAC地址，若不存在，主机回传源地址的IP地址以及MAC地址至网关服务器，网关服务器将源主机记录在欺骗记录表。

其中，欺骗记录表内存储源主机的IP地址和MAC地址；网关ARP包过滤模块接收ARP报文后，先检索欺骗记录表内是否存在ARP报文内的IP地址和MAC地址，若存在则不进行转发。

其中，网关ARP缓存映射表内存储经网关处理器转发的主机的IP地址和MAC地址的转发记录，转发记录均带有时间戳，时间戳到达时间阈值后，自动清楚对应的转发记录。

请参阅图2所示，ARP双向防御方法，包括如下过程：

步骤一：网关服务器接收ARP报文后提取源主机的IP地址以及MAC地址；

步骤二：通过网关ARP包过滤模块检索网关ARP缓存映射表内是否存在源主机的IP地址以及MAC地址；若存才，则不进行转发；若不存在，则执行步骤三；

步骤三：网关ARP包过滤模块统计网关ARP缓存映射表内与源主机相同IP地址以及MAC地址的重复数量；

步骤四：判断重复数量是否超过重复次数；若是，则将当前ARP报文标记为ARP报文并执行步骤五；若否，则直接执行步骤五；

步骤五：网关服务器转发ARP报文；

步骤六：主机通过标记识别单元识别ARP报文判断是否为异常ARP报文；若是，则执行步骤七；若否，则正常处理ARP报文；

步骤七：异常报文处理模块判断异常报文是否为ARP请求包，若是，则执行步骤八；若否，则执行步骤九；

步骤八；主机根据IP地址以及MAC地址向源主机发送ARP请求包，若接收到源主机的ARP应答包，则存储ARP应答包内的IP地址以及MAC地址至主机ARP缓存映射表；若没有接收到ARP应答包，则网关服务器将源主机记录在欺骗记录表；

步骤九：异常报文处理模块对比主机ARP缓存映射表是否有与源地址对应的IP地址以及MAC地址，若不存在，主机回传源地址的IP地址以及MAC地址至网关服务器，网关服务器将源主机记录在欺骗记录表。

其中，步骤步骤六中的正常处理ARP报文具体包括如下：

若ARP报文为ARP请求包，则主机存储ARP请求包内的IP地址以及MAC地址并存户至主机ARP缓存映射表内并回传对应的ARP应答包至源地址；

若ARP报文为ARP应答包，则主机存储ARP应答包内的IP地址以及MAC地址并存户至主机ARP缓存映射表内。

值得注意的是，上述系统实施例中，所包括的各个单元只是按照功能逻辑进行划分的，但并不局限于上述的划分，只要能够实现相应的功能即可；另外，各功能单元的具体名称也只是为了便于相互区分，并不用于限制本发明的保护范围。

另外，本领域普通技术人员可以理解实现上述各实施例方法中的全部或部分步骤是可以通过程序来指令相关的硬件来完成，相应的程序可以存储于一计算机可读取存储介质中。

以上公开的本发明优选实施例只是用于帮助阐述本发明。优选实施例并没有详尽叙述所有的细节，也不限制该发明仅为所述的具体实施方式。显然，根据本说明书的内容，可作很多的修改和变化。本说明书选取并具体描述这些实施例，是为了更好地解释本发明的原理和实际应用，从而使所属技术领域技术人员能很好地理解和利用本发明。本发明仅受权利要求书及其全部范围和等效物的限制。

Claims (5)

1.ARP双向防御系统，其特征在于，包括：包含网关ARP包过滤模块的网关服务器以及若干设有主机ARP包过滤模块的主机；若干所述主机与所述网关服务器连接并主动获取网关服务器的网关MAC；

所述网关服务器内还设置网关ARP缓存映射表；所述网关ARP缓存映射表内存储预设时间阈值内经网关服务器向所述主机发送的ARP请求包以及ARP应答包；

所述网关ARP包过滤模块统计网关ARP缓存映射表内来自同一IP地址的ARP报文的重复次数；所述网关ARP包过滤模块对比所述重复次数与重复阈值过滤异常ARP报文并为异常ARP报文作异常标记；

所述主机ARP包过滤模块内设置标记识别单元；所述标记识别单元用于过滤识别网关服务器转发的异常ARP报文；

所述主机内还包括异常报文处理模块；

若所述异常报文为ARP请求包，则所述异常报文处理模块从异常报文中获取源主机的IP地址以及MAC地址；所述异常报文处理模块根据源主机的IP地址以及MAC地址产生ARP请求包并经网关服务器转发至源主机；若网关服务器无法获得源主机的ARP应答包，则将源主机记录在欺骗记录表；

若所述异常报文为ARP应答包，则所述异常报文处理模块对比主机ARP缓存映射表是否有与源地址对应的IP地址以及MAC地址，若不存在，所述主机回传源地址的IP地址以及MAC地址至网关服务器，所述网关服务器将源主机记录在欺骗记录表。

2.根据权利要求1所述的ARP双向防御系统，其特征在于，所述欺骗记录表内存储源主机的IP地址和MAC地址；所述网关ARP包过滤模块接收ARP报文后，先检索欺骗记录表内是否存在ARP报文内的IP地址和MAC地址，若存在则不进行转发。

3.根据权利要求1所述的ARP双向防御系统，其特征在于，所述网关ARP缓存映射表内存储经所述网关处理器转发的主机的IP地址和MAC地址的转发记录，所述转发记录均带有时间戳，所述时间戳到达所述时间阈值后，自动清楚对应的转发记录。

4.如权利要求1-3任意一所述的ARP双向防御方法，其特征在于，包括如下过程：

步骤一：所述网关服务器接收ARP报文后提取源主机的IP地址以及MAC地址；

步骤二：通过网关ARP包过滤模块检索网关ARP缓存映射表内是否存在源主机的IP地址以及MAC地址；若存才，则不进行转发；若不存在，则执行步骤三；

步骤三：所述网关ARP包过滤模块统计网关ARP缓存映射表内与源主机相同IP地址以及MAC地址的重复数量；

步骤四：判断重复数量是否超过重复次数；若是，则将当前ARP报文标记为ARP报文并执行步骤五；若否，则直接执行步骤五；

步骤五：网关服务器转发ARP报文；

步骤六：主机通过标记识别单元识别ARP报文判断是否为异常ARP报文；若是，则执行步骤七；若否，则正常处理ARP报文；

步骤七：所述异常报文处理模块判断异常报文是否为ARP请求包，若是，则执行步骤八；若否，则执行步骤九；

步骤八；主机根据IP地址以及MAC地址向源主机发送ARP请求包，若接收到源主机的ARP应答包，则存储ARP应答包内的IP地址以及MAC地址至主机ARP缓存映射表；若没有接收到ARP应答包，则网关服务器将源主机记录在欺骗记录表；

步骤九：异常报文处理模块对比主机ARP缓存映射表是否有与源地址对应的IP地址以及MAC地址，若不存在，所述主机回传源地址的IP地址以及MAC地址至网关服务器，所述网关服务器将源主机记录在欺骗记录表。

5.根据权利要求4所述的ARP双向防御方法，其特征在于，步骤步骤六中的正常处理ARP报文具体包括如下：

若ARP报文为ARP请求包，则主机存储ARP请求包内的IP地址以及MAC地址并存户至主机ARP缓存映射表内并回传对应的ARP应答包至源地址；

若ARP报文为ARP应答包，则主机存储ARP应答包内的IP地址以及MAC地址并存户至主机ARP缓存映射表内。