CN112839015B - 攻击Mesh节点检测方法、装置及系统 - Google Patents

Abstract

本发明实施例提出攻击Mesh节点检测方法、装置及系统。方法包括：Mesh网络中的任一AP：第一AP接收到其它MP发来的报文；第一AP检测该报文的内容是否合法，若不合法，则认为该其它MP为疑似攻击MP，将该报文的内容上报给控制器，以便：控制器验证该报文的内容是否合法，若验证为不合法，则控制器确认该其它MP为攻击MP。本发明实施例实现了对Mesh网络中的攻击MP的检测。

Description

攻击Mesh节点检测方法、装置及系统

技术领域

本发明涉及无线Mesh网络技术领域，尤其涉及攻击MP(Mesh Point，Mesh节点)检测方法、装置及系统。

背景技术

Wi-Fi(Wireless Fidelity，无线保真)Mesh(网状)网是一种Wi-Fi网络的网状结构组网方式，也称为“多跳(multi-hop)”网络。

IEEE(Institute of Electrical and Electronics Engineers，电气电子工程师协会)802.11S mesh协议提供用户网络服务，通过特有的Mesh组网技术，将所有支持IEEE802.11s的设备连接成一个网状网络，提供用户覆盖范围广且稳定的网络。

目前的Mesh网络仅在连通层给用户提供网络服务，缺乏安全层的保护。

发明内容

本发明实施例提出攻击MP检测方法、装置及系统，以实现对Mesh网络中的攻击MP的检测。

本发明实施例的技术方案是这样实现的：

一种攻击Mesh节点MP检测方法，该方法包括：

Mesh网络中的任一接入节点AP：第一AP接收到其它MP发来的报文；

第一AP检测该报文的内容是否合法，若不合法，则认为该其它MP为疑似攻击MP，将该报文的内容上报给控制器，以便：控制器验证该报文的内容是否合法，若验证为不合法，则控制器确认该其它MP为攻击MP。

所述第一AP检测该报文的内容是否合法包括：

检测该报文携带的该其它MP的如下信息之一或任意组合是否合法：

特征码、序列号、媒体接入控制MAC地址、服务集标识符SSID、安全类型、信息元素IE特征。

所述第一AP将该报文的内容上报给控制器之后进一步包括：

当控制器确认该其它MP为攻击MP后，控制器向Mesh网络中的所有合法AP发送携带该攻击MP的标识信息的链路切断消息，以使得：Mesh网络中的所有合法AP收到该消息后，切断与该攻击MP之间的链路，并将该攻击MP的标识信息加入黑名单。

所述第一AP将该报文的内容上报给控制器之后进一步包括：

当控制器确认该其它MP为攻击MP后，控制器向Mesh网络中的Mesh认证节点MPP发送该攻击MP的标识信息，以使得：MPP接收该攻击MP的标识信息，对该攻击MP进行定位，将该攻击MP的位置信息携带在攻击报警消息中发送给用户。

所述控制器确认该其它MP为攻击MP之后进一步包括：

控制器判断该攻击MP的标识信息是否已在自身的黑名单中，若不在，则将该攻击MP的标识信息加入自身的黑名单；否则，通知Mesh网络中的所有合法AP执行如下操作之一：

将当前使用的频带切换到与攻击MP使用的频带不同的频带上，

将当前使用的信道切换到与攻击MP使用的信道不同的信道上，

将当前使用的Mesh配置信息更改为与攻击MP使用的Mesh配置信息不同的信息。

一种攻击Mesh节点MP检测装置，该装置位于Mesh网络中的接入节点AP上，该装置包括：

报文合法性检测模块，用于接收到其它MP发来的报文，检测该报文的内容是否合法，若不合法，则认为该其它MP为疑似攻击MP，将该报文的内容发送给疑似攻击MP上报模块；

疑似攻击MP上报模块，用于将报文合法性检测模块发来的报文内容上报给控制器，以便：控制器验证该报文内容是否合法，若验证为不合法，则控制器确认该其它MP为攻击MP。

所述报文合法性检测模块检测该报文的内容是否合法包括：

检测该报文携带的该其它MP的如下信息之一或任意组合是否合法：

特征码、序列号、媒体接入控制MAC地址、服务集标识符SSID、安全类型、信息元素IE特征。

一种攻击Mesh节点MP检测系统，该系统包括：

第一AP，用于接收到其它MP发来的报文，检测该报文的内容是否合法，若不合法，则认为该其它MP为疑似攻击MP，将该报文的内容上报给控制器；所述第一AP为Mesh网络中的任一AP；

控制器，用于验证第一AP发来的报文的内容是否合法，若验证为不合法，则确认发出该报文的所述其它MP为攻击MP。

所述控制器确认发出该报文的所述其它MP为攻击MP之后进一步用于，

控制器向Mesh网络中的所有合法AP发送携带该攻击MP的标识信息的链路切断消息，以使得：Mesh网络中的所有合法AP收到该消息后，切断与该攻击MP之间的链路，并将该攻击MP的标识信息加入黑名单；

或/和，控制器向Mesh网络中的Mesh认证节点MPP发送该攻击MP的标识信息，以使得：MPP接收该攻击MP的标识信息，对该攻击MP进行定位，将该攻击MP的位置信息携带在攻击报警消息中发送给用户；

或/和，控制器判断该攻击MP的标识信息是否已在自身的黑名单中，若不在，则将该攻击MP的标识信息加入自身的黑名单；否则，通知Mesh网络中的所有合法AP执行如下操作之一：

将当前使用的频带切换到与攻击MP使用的频带不同的频带上，

将当前使用的信道切换到与攻击MP使用的信道不同的信道上，

将当前使用的Mesh配置信息更改为与攻击MP使用的Mesh配置信息不同的信息。

本发明实施例通过Mesh网络中的任一AP对来自其它MP的报文进行合法性检测，若检测为不合法，则认为该其它MP为疑似攻击MP，将该报文的内容上报给控制器，以便：控制器进一步验证该报文的内容是否合法，若验证为不合法，则控制器确认该其它MP为攻击MP，从而实现了对Mesh网络中的攻击MP的检测。

附图说明

图1为典型的Mesh组网示意图；

图2为当Mesh网络中存在攻击MP时的组网图；

图3为本发明一实施例提供的攻击MP检测方法流程图；

图4为本发明另一实施例提供的攻击MP检测方法流程图；

图5为本发明实施例提供的Mesh网络攻击处理方法流程图；

图6为本发明实施例提供的攻击MP检测装置的结构示意图；

图7为本发明实施例提供的攻击MP检测系统的结构示意图。

具体实施方式

下面结合附图及具体实施例对本发明再作进一步详细的说明。

图1为典型的Mesh组网示意图，Mesh网络主要包括如下设备：

AC(Access Controller，接入控制器)，用于控制和管理WLAN(Wireless LocalArea Network，无线局域网)内所有的AP(Access Point，接入节点)；

MPP(Mesh Portal Point，Mesh认证点)，是通过有线方式与AC连接的无线AP；

MP：通过无线方式与MPP连接，但是不接入Client(客户端)的无线AP。

在图1所示的典型的Mesh组网下，每个MP可以同时与MPP或/和多个MP建立连接，从而形成Mesh网状网。同时，每个MP启动后，会建立到达MPP的业务路径，并将到达MPP的最短业务路径作为主业务路径，其它业务路径作为备业务路径，图1中的实线为主业务路径，虚线为备业务路径。

图2为当Mesh网络中存在攻击MP时的组网图。当Mesh网络中存在攻击MP时，这些攻击MP会与其它合法MP或/和MPP建立连接，从而对Mesh网络的安全构成威胁。如图2中的攻击MP_X1分别与合法MP_B、MP_C、MP_D建立了连接，攻击MP_X2分别与合法MP_C、MP_E、MPP建立了连接，攻击MP_X3与合法MP_F建立了连接，攻击MP会向与其建立连接的合法MP发送攻击报文，对合法MP及Mesh网络的安全构成威胁。

图3为本发明一实施例提供的攻击MP检测方法流程图，其具体步骤如下：

步骤301：Mesh网络中的任一AP，设为第一AP接收到其它MP发来的报文。

这里的AP包括MP和MPP，即，这里的AP既可以是MP，也可以是MPP。

步骤302：第一AP检测该报文的内容是否合法，若不合法，则认为该其它MP为疑似攻击MP，将该报文的内容上报给控制器。

在实际应用中，第一AP检测该报文的内容是否合法可包括：

检测该报文携带的该其它MP的如下信息之一或任意组合是否合法：

特征码、序列号、MAC(Media Access Control，媒体接入控制)地址、SSID(ServiceSet Identifier，服务集标识符)、安全类型、IE(Information Element，信息元素)特征。

步骤303：控制器验证第一AP发来的该报文的内容是否合法，若验证为不合法，则确认该其它MP为攻击MP。

在实际应用中，当控制器确认该其它MP为攻击MP后，控制器可向Mesh网络中的所有合法AP(包括MPP和所有合法MP)发送携带该攻击MP的标识信息(如：攻击MP的MAC地址)的链路切断消息，以使得：Mesh网络中的所有合法AP收到该消息后，切断与该攻击MP之间的链路，并将该攻击MP的标识信息加入黑名单。其中，控制器维护有Mesh网络的所有AP的合法/攻击信息，例如：白名单和黑名单。

另外，在实际应用中，当控制器确认该其它MP为攻击MP后，控制器还可向Mesh网络中的MPP发送该攻击MP的标识信息，以使得：MPP接收该攻击MP的标识信息，对该攻击MP进行定位，将该攻击MP的位置信息携带在攻击报警消息中发送给用户。

另外，在实际应用中，当控制器确认该其它MP为攻击MP后，控制器还可判断该攻击MP的标识信息是否已在自身的黑名单中，若不在，则将该攻击MP的标识信息加入自身的黑名单；否则，通知Mesh网络中的所有合法AP(包括MPP和所有合法MP)执行如下操作之一：

将当前使用的频带切换到与攻击MP使用的频带不同的频带上；

将当前使用的信道切换到与攻击MP使用的信道不同的信道上；

将当前使用的Mesh配置信息更改为与攻击MP使用的Mesh配置信息不同的信息。

图4为本发明另一实施例提供的攻击MP检测方法流程图，其具体步骤如下：

步骤401：Mesh网络中的任一AP，设为第一AP接收到其它MP发来的报文。

其它MP发来的报文可能是TCP(Transmission Control Protocol，传输控制协议)报文、IP(Internet Protocol，因特网协议)报文或者IEEE 802.11无线报文。

步骤402：对于接收到的每一其它MP，如：第二MP发来的报文，第一AP根据该报文的内容，判断该报文是否合法，若是，不做进一步处理，本流程结束；否则，执行步骤403。

第一AP根据该报文的内容，判断该报文是否合法可包括：

判断该报文中的如下信息之一或者任意组合是否合法：

报文中的第二MP的特征码、序列号、MAC地址、SSID、安全类型、IE特征。

具体地，对于特征码、序列号、MAC地址和SSID，可以通过将它们的格式或/和取值范围与定义的合法格式或/和定义的合法取值范围进行匹配，来确定它们是否合法，若匹配上，则合法，否则，不合法；

对于安全类型和IE特征，可以通过将它们的内容与定义的它们的合法内容进行匹配，来确定它们是否合法，若匹配上，则合法，否则，不合法。

其中，IE特征只在IEEE 802.11无线报文中携带，TCP和IP报文不携带。

特征码例如：magic number(魔术码)、或/和OUI(Organizationally UniqueIdentifier，组织唯一标识符)等。

步骤403：第一AP认为第二MP为疑似攻击MP，将第二MP发来的报文发送给控制器。

若Mesh网络为局域网，则在局域网内设置一个控制器；若Mesh网络为公网，则可将一台云端服务器设置为控制器。

步骤404：控制器根据该第二MP发出的报文的内容，继续验证该报文是否合法，若是，则不做进一步处理，本流程结束；否则，确定第二MP为攻击MP，进行攻击处理。

控制器根据该第二MP发出的报文的内容，继续验证该报文是否合法的过程可以与第一AP相同，但是由于控制器上保存的验证信息如：特征码、序列号、MAC地址和SSID的合法格式或/和合法取值范围，安全类型和IE特征和合法内容的版本都是最新的，而第一AP上保存的验证信息的版本可能不是最新的，因此，控制器的验证结果更为准确。

另外，控制器在根据自身保存的验证信息验证第二MP发来的报文中存在不合法内容(如：特征码、或/和序列号、或/和MAC地址、或/和SSID、或/和安全类型、或/和IE特征)之后，还可以根据第二MP发来的报文中的合法内容(如：MAC地址、或/和序列号等)确定第二MP的生产厂家，然后将该报文的所有内容或者只将不合法内容发送给该生产厂家，由生产厂家确认该报文是否合法，若生产厂家确认合法，则控制器确认第二MP不为攻击MP，否则，确认第二MP为攻击MP。

本步骤中提到的“攻击处理”过程如图5所示流程。

图5为本发明实施例提供的Mesh网络攻击处理方法流程图，其具体步骤如下：

步骤501：控制器从攻击MP，如：第二MP发来的报文中获取第二MP的标识信息，向Mesh网络中的所有合法AP(包括MPP和所有合法MP)发送携带第二MP的标识信息的链路切断命令。

控制器也可以将携带第二MP的标识信息的链路切断命令只发送给Mesh网络中的MPP，然后MPP再转发给Mesh网络中的所有合法MP。

步骤502：Mesh网络中的任一AP接收到该链路切断命令，根据该命令携带的第二MP的标识信息，切断与第二MP之间的链路。

另外，在实际应用中，步骤501还可以包括：

控制器向Mesh网络中的MPP发送携带第二MP的标识信息的攻击MP定位命令；MPP接收到该攻击MP定位命令，根据该命令携带的第二MP的标识信息，对第二MP进行定位，将定位得到的第二MP的位置信息携带在攻击报警消息中发送给用户

其中，MPP对第二MP进行定位的过程可如下：

首先，MPP获取至少三个曾经与第二MP建立链路的合法MP的标识信息；

例如：控制器可将曾经认为第二MP为疑似攻击MP的至少三个合法MP的标识信息发送给MPP。

然后，MPP向该至少三个合法MP获取第二MP发出报文的RSSI(Received SignalStrength Indication，接收信号强度指示)，根据获取的所有RSSI对第二MP进行定位。

另外，在实际应用中，当控制器确认第二MP为攻击MP后，控制器还可判断该第二MP的标识信息是否已在自身的黑名单中，若不在，则将第二MP的标识信息加入自身的黑名单；若已存在，则通知Mesh网络中的所有合法AP执行如下操作之一：

将当前使用的频带切换到与第二MP使用的频带不同的频带上；

将当前使用的信道切换到与第二MP使用的信道不同的信道上；

将当前使用的Mesh配置信息(如：热点名称、或/和加密类型、或/和加密密钥等)更改为与第二MP使用的Mesh配置信息不同的信息。

图6为本发明实施例提供的攻击MP检测装置的结构示意图，该装置位于Mesh网络中的AP上，该装置主要包括：报文合法性检测模块61和疑似攻击MP上报模块62，其中：

报文合法性检测模块61，用于接收到其它MP发来的报文，检测该报文的内容是否合法，若不合法，则认为该其它MP为疑似攻击MP，将该报文的内容发送给疑似攻击MP上报模块62。

疑似攻击MP上报模块62，用于将报文合法性检测模块61发来的报文内容上报给控制器，以便：控制器验证该报文内容是否合法，若验证为不合法，则控制器确认该其它MP为攻击MP。

在实际应用中，报文合法性检测模块61检测该报文的内容是否合法可包括：

检测该报文携带的该其它MP的如下信息之一或任意组合是否合法：

特征码、序列号、媒体接入控制MAC地址、服务集标识符SSID、安全类型、信息元素IE特征。

图7为本发明实施例提供的攻击MP检测系统的结构示意图，该系统主要包括：第一AP 71和控制器72，其中：

第一AP 71，用于接收到其它MP发来的报文，检测该报文的内容是否合法，若不合法，则认为该其它MP为疑似攻击MP，将该报文的内容上报给控制器72；其中，第一AP 71为Mesh网络中的任一AP。

控制器72，用于验证第一AP 71发来的报文的内容是否合法，若验证为不合法，则确认发出该报文的所述其它MP为攻击MP。

在实际应用中，控制器72确认发出该报文的所述其它MP为攻击MP之后进一步用于，

控制器向Mesh网络中的所有合法AP发送携带该攻击MP的标识信息的链路切断消息，以使得：Mesh网络中的所有合法AP收到该消息后，切断与该攻击MP之间的链路，并将该攻击MP的标识信息加入黑名单；

或/和，控制器向Mesh网络中的MPP发送该攻击MP的标识信息，以使得：MPP接收该攻击MP的标识信息，对该攻击MP进行定位，将该攻击MP的位置信息携带在攻击报警消息中发送给用户；

或/和，控制器判断该攻击MP的标识信息是否已在自身的黑名单中，若不在，则将该攻击MP的标识信息加入自身的黑名单；否则，通知Mesh网络中的所有合法AP执行如下操作之一：

将当前使用的频带切换到与攻击MP使用的频带不同的频带上，

将当前使用的信道切换到与攻击MP使用的信道不同的信道上，

将当前使用的Mesh配置信息更改为与攻击MP使用的Mesh配置信息不同的信息。

本发明实施例的有益效果如下：

通过Mesh网络中的任一AP对来自其它MP的报文进行合法性检测，若检测为不合法，则认为该其它MP为疑似攻击MP，将该报文的内容上报给控制器，以便：控制器进一步验证该报文的内容是否合法，若验证为不合法，则控制器确认该其它MP为攻击MP，通过双重检测，实现了对Mesh网络中的攻击MP的可靠检测；

进一步地，控制器检测出攻击MP后，通知MPP对攻击MP进行定位以及通知所有合法AP切换与攻击MP之间的链路，避免了攻击MP继续对Mesh网络进行攻击，保证了Mesh网络的安全；

另外，在重复检测到同一攻击MP时，通过让所有合法AP进行切频、切信道、或/和更改Mesh配置信息，来彻底避免攻击MP对Mesh网络的攻击。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明保护的范围之内。

Claims (9)

1.一种攻击Mesh节点MP检测方法，其特征在于，该方法包括：

Mesh网络中的任一接入节点AP：

第一AP接收其它MP发来的报文，其中，Mesh网络包括：用于控制和管理无线局域网内所有的AP的控制器，与控制器连接的Mesh认证节 点MPP，以及与MPP连接的MP，第一AP为所述Mesh网络中任一MP或任一MPP；

第一AP检测该报文的内容是否合法，若不合法，则认为该其它MP为疑似攻击MP，将该报文的内容上报给控制器，以便：控制器验证该报文的内容是否合法，若验证为不合法，则控制器确认该其它MP为攻击MP。

2.根据权利要求1所述的方法，其特征在于，所述第一AP检测该报文的内容是否合法包括：

检测该报文携带的该其它MP的如下信息之一或任意组合是否合法：

特征码、序列号、媒体接入控制MAC地址、服务集标识符SSID、安全类型、信息元素IE特征。

3.根据权利要求1所述的方法，其特征在于，所述第一AP将该报文的内容上报给控制器之后进一步包括：

当控制器确认该其它MP为攻击MP后，控制器向Mesh网络中的所有合法AP发送携带该攻击MP的标识信息的链路切断消息，以使得：Mesh网络中的所有合法AP收到该消息后，切断与该攻击MP之间的链路，并将该攻击MP的标识信息加入黑名单。

4.根据权利要求1所述的方法，其特征在于，所述第一AP将该报文的内容上报给控制器之后进一步包括：

当控制器确认该其它MP为攻击MP后，控制器向Mesh网络中的Mesh认证节点MPP发送该攻击MP的标识信息，以使得：MPP接收该攻击MP的标识信息，对该攻击MP进行定位，将该攻击MP的位置信息携带在攻击报警消息中发送给用户。

5.根据权利要求1所述的方法，其特征在于，所述控制器确认该其它MP为攻击MP之后进一步包括：

控制器判断该攻击MP的标识信息是否已在自身的黑名单中，若不在，则将该攻击MP的标识信息加入自身的黑名单；否则，通知Mesh网络中的所有合法AP执行如下操作之一：

将当前使用的频带切换到与攻击MP使用的频带不同的频带上，

将当前使用的信道切换到与攻击MP使用的信道不同的信道上，

将当前使用的Mesh配置信息更改为与攻击MP使用的Mesh配置信息不同的信息。

6.一种攻击Mesh节点MP检测装置，该装置位于Mesh网络中的接入节点AP上，其特征在于，所述AP为所述Mesh网络中任一与MPP连接的MP或任一与控制器连接的MPP，且受控制其的管理和控制，

该装置包括：

报文合法性检测模块，用于接收到其它MP发来的报文，检测该报文的内容是否合法，若不合法，则认为该其它MP为疑似攻击MP，将该报文的内容发送给疑似攻击MP上报模块；

疑似攻击MP上报模块，用于将报文合法性检测模块发来的报文内容上报给控制器，以便：控制器验证该报文内容是否合法，若验证为不合法，则控制器确认该其它MP为攻击MP。

7.根据权利要求6所述的装置，其特征在于，所述报文合法性检测模块检测该报文的内容是否合法包括：

检测该报文携带的该其它MP的如下信息之一或任意组合是否合法：

特征码、序列号、媒体接入控制MAC地址、服务集标识符SSID、安全类型、信息元素IE特征。

8.一种攻击Mesh节点MP检测系统，其特征在于，该系统包括：

第一AP，用于接收其它MP发来的报文，检测该报文的内容是否合法，若不合法，则认为该其它MP为疑似攻击MP，将该报文的内容上报给控制器；所述第一AP为Mesh网络中的任一AP；

控制器，用于验证第一AP发来的报文的内容是否合法，若验证为不合法，则确认发出该报文的所述其它MP为攻击MP；

其中，

所述控制器控制和管理无线局域网内所有的AP，

所述第一AP为所述Mesh网络中任一与MPP连接的MP或任一与控制器连接的MPP。

9.根据权利要求8所述的系统，其特征在于，所述控制器确认发出该报文的所述其它MP为攻击MP之后进一步用于，

控制器向Mesh网络中的所有合法AP发送携带该攻击MP的标识信息的链路切断消息，以使得：Mesh网络中的所有合法AP收到该消息后，切断与该攻击MP之间的链路，并将该攻击MP的标识信息加入黑名单；

或/和，控制器向Mesh网络中的Mesh认证节点MPP发送该攻击MP的标识信息，以使得：MPP接收该攻击MP的标识信息，对该攻击MP进行定位，将该攻击MP的位置信息携带在攻击报警消息中发送给用户；

或/和，控制器判断该攻击MP的标识信息是否已在自身的黑名单中，若不在，则将该攻击MP的标识信息加入自身的黑名单；否则，通知Mesh网络中的所有合法AP执行如下操作之一：

将当前使用的频带切换到与攻击MP使用的频带不同的频带上，

将当前使用的信道切换到与攻击MP使用的信道不同的信道上，

将当前使用的Mesh配置信息更改为与攻击MP使用的Mesh配置信息不同的信息。

Images