TWI491233B

TWI491233B - 用以認定網點之發生事件之方法

Info

Publication number: TWI491233B
Application number: TW101144206A
Authority: TW
Inventors: Kun Jung Lee
Original assignee: Sofnet Corp
Priority date: 2012-11-26
Filing date: 2012-11-26
Publication date: 2015-07-01
Also published as: TW201421954A

Description

用以認定網點之發生事件之方法

本發明係關於一種用以認定網點之發生事件之方法，特別是關於一種根據允許清單判斷網點之發生事件之方法。

現今網路受到普遍使用，增進了資訊交流的便利性。然而，藉由網路交流資訊也帶了許多風險。例如，網路之電子商務中的個人金融認證資料遭盜取，或是電腦系統被網路駭客入侵，進一步導致資料外流、電腦中毒、重要檔案受損、甚至電腦系統故障，而影響到個人或企業的權益。

接收網路封包有其風險，特別是來自一危險網點的封包，例如外部電腦經由網路所傳送來封包，而以各種方式危害他人電腦，包括竊聽(wiretapping)、竄改(tampering)、惡意攻擊(malicious attack)、阻斷服務(denial of service)、及網路釣魚(phishing)等，使得網路使用者防不慎防。諸如此類的網路危害之防範實為相當重要，如何擬定網路資訊安全的策略方法並予以執行，實為一項重要的課題。

網路風險與封包來源的網點有關，若能對於網點作出準確的判斷評估將有助於網路安全的提昇。

緣此，本發明之目的即是提供一種用以認定網點之發生事件之方法，用於對於封包來源的網點之發生事件作出判斷評估，以改善習知技術的問題。

本發明為解決習知技術之問題所採用之技術手段為一種用以認定網點之發生事件之方法，包含下列步驟：(a)判斷網點之IP位址是否在一IP管理區段內；(b)當網點之IP位址不在IP管理區段內，則認定發生事件為一區段外之非法事件；(c)當網點之IP位址在IP管理區段內，則判斷網點之媒體存取控制位址是否在一允許清單之表列；(d)當網點之媒體存取控制位址不在允許清單之表列，則認定發生事件為非法事件；(e)當網點之媒體存取控制位址在允許清單之表列，則取出與媒體存取控制位址對應之允許清單之表列；(f)自允許清單之表列逐一取出允許清單並與網點之管理屬性比對，而認定網點之發生事件，其中網點之管理屬性為選自以：單一媒體存取控制位址、一媒體存取控制位址與一動態IP位址、一媒體存取控制位址與一固定IP位址、單一IP位址搭配多個媒體存取控制位址、以及單一媒體存取控制位址搭配多個IP位址所構成之群組中之一個或多數個。

在本發明的一實施例中，在步驟(d)中，判斷網點之IP位址是否於允許清單之表列，當網點之IP位址在允許清單之表列，則認定發生事件為一外部搶IP之非法事件。

在本發明的一實施例中，在步驟(d)中，當網點之IP位址不在允許清單之表列，則判斷動態IP功能是否啟用，當動態IP功能沒有啟用，則認定發生事件為一外部連結之非法事件。

在本發明的一實施例中，在步驟(d)中，當動態IP 功能有啟用，則判斷網點之IP位址是否為一動態IP位址，當網點之IP位址不為動態IP位址，則認定發生事件為一外部連結之非法事件。

在本發明的一實施例中，在步驟(d)中，當網點之IP位址為一動態IP位址，則判斷網點之IP位址是否為一非法動態IP伺服器所派發之IP位址，若是則認定發生事件為一非法動態IP伺服器IP之非法事件，若不是則認定發生事件為一動態IP伺服器外部連結之非法事件。

在本發明的一實施例中，在步驟(f)中，判斷網點之管理屬性是否為單一媒體存取控制位址，當網點之管理屬性為單一媒體存取控制位址時則執行一單一媒體存取控制位址判斷步驟，當網點之管理屬性不為單一媒體存取控制位址時，則執行一非單一媒體存取控制位址判斷步驟。

在本發明的一實施例中，單一媒體存取控制位址判斷步驟為判斷網點之IP位址是否在允許清單之表列中，若網點之IP位址在允許清單之表列中，則認定發生事件為一內部搶IP之非法事件，若網點之IP位址不在允許清單之表列中，則認定發生事件為一合法事件。

在本發明的一實施例中，非單一媒體存取控制位址判斷步驟包括，當網點之管理屬性為包括具有動態IP之媒體存取控制位址時，若動態IP功能有啟用且網點之IP類型不為動態IP，則認定發生事件為一動態IP改固定IP之非法事件，若動態IP功能有啟用且網點之IP類型為動態IP且屬於非法動態IP伺服器所派發之IP位址，則認定發生事件為一非法動態IP伺服器之非法事件，若動態IP功能有啟用且網點之IP類型為屬於動態IP但不屬於非法動態IP伺服器所派發之IP位址，則認定發生事件為一合法事件。

在本發明的一實施例中，非單一媒體存取控制位址判斷步驟包括，當網點之管理屬性為包括具有固定IP之媒體存取控制位址時，若動態IP功能有啟用且IP類型為動態IP，則認定發生事件為一固定IP改動態IP之非法事件，否則判斷網點之IP位址是否相符於允許清單，若相符則進行下一筆允許清單之判斷，若不相符則判斷網點之IP是否在允許清單之表列，若是則認定發生事件為一內部搶IP之非法事件，若不是則認定發生事件為一內部改IP之非法事件。

經由本發明所採用之技術手段，藉由允許清單比對網點之管理屬性，而可認定此網點之發生事件，藉此確保資訊交流的機密性、完整性、及可用性，並保護網路系統，進一步提昇網路使用的安全性。本發明所提供方法嚴謹而有效，且相當適合於應用於個人以及企業所使用的網路系統。

本發明所採用的具體實施例，將藉由以下之實施例及附呈圖式作進一步之說明。

本發明提供一種用以認定網點之發生事件之方法，為在一網段中根據ARP(Address Resolution Protocol)封包而認定其對應之網點之發生事件。以下請配合參閱第1圖及第2圖對本發明之一實施例之用以認定網點之發生事件之方法作一說明如後。

參閱第1圖所示，其係顯示本發明之一實施例之用以認定網點之發生事件之方法之流程圖。本發明之一實施例之用以認定網點之發生事件之方法主要包含下列步驟：判斷網點之IP(Internet Protocol)位址是否在一IP管理區段內(步驟S100)；當網點之IP位址不在IP管理區段內，則認定發生事件為一區段外之非法事件(步驟S200)；當網點之IP位址在IP管理區段內，則判斷網點之媒體存取控制(Media Access Control,MAC)位址是否在一允許清單之表列(步驟S300)；當網點之媒體存取控制位址不在允許清單之表列，則認定發生事件為非法事件(步驟S400)；當網點之媒體存取控制位址在允許清單之表列，則取出與媒體存取控制位址對應之允許清單之表列(步驟S500)；自允許清單之表列逐一取出允許清單並與網點之管理屬性比對，而認定網點之發生事件(步驟S600)。

在本實施例中，係應用一網路監控系統100以實施本發明的用以認定網點之發生事件之方法，如第2圖所示。網路監控系統100包括一決策裝置1及一執行裝置2。決策裝置1及執行裝置2為分別為一電腦或其他類似裝置。在實際應用時，單一個決策裝置1藉由一網路N連接於多數個執行裝置2，而每個執行裝置2分別透過網路N於一網段S中連接多數個網點P。網點P可為電腦、智慧型手機、個人數位助理(PDA)等任何藉由網路卡、無線網路卡、或無線網路基地台連接至網路N之裝置。

詳細來說，在步驟S100前，先進行收受網段S中的網點P之ARP封包的封包收取步驟(步驟S10)。具體而言，在封包收取步驟中，透過網路N，執行裝置2於一網段S中藉由擷取每個網點P所發出之ARP封包來監測多數個網點P。

然後進行判斷網點P之步驟。具體而言，執行裝置2將每個接受之ARP封包所對應之網點P之管理屬性與決策裝置1中所儲存之一允許資料作比對，而認定網點P之發生事件，其中網點P之管理屬性為選自以：單一媒體存取控制位址、一媒體存取控制位址與一動態IP位址、一媒體存取控制位址與一固定IP位址、單一IP位址搭配多個媒體存取控制位址、以及單一媒體存取控制位址搭配多個IP位址所構成之群組中之一個或多數個。而允許資料包括一IP管理區段以及包括複數個允許清單的允許清單之表列。

首先，執行裝置2判斷網點P之IP位址是否在該允許資料之IP管理區段內(步驟S100)。當網點P之IP位址不在IP管理區段內，則執行裝置2認定發生事件為一區段外之非法事件(步驟S200)。而當網點P之IP位址在IP管理區段內，則執行裝置2判斷網點P之媒體存取控制位址是否在該允許清單之表列(步驟S300)。

當網點P之媒體存取控制位址不在允許清單之表列，則執行裝置2認定發生事件為非法事件(步驟S400)。而當網點P之媒體存取控制位址在允許清單之表列，則執行裝置2取出與網點P之媒體存取控制位址對應之允許清單之表列(步驟S500)，並自允許清單之表列逐一取出允許清單並與網點P之管理屬性比對，而認定網點P之發生事件(步驟S600)。

其中，在步驟S200、步驟S400、及步驟S600之後還包括執行裝置2將發生事件回傳至決策裝置1而予以儲存之步驟(步驟S700)

在步驟S400中，還可進一步判斷非法事件之類型，如第3圖所示。首先執行裝置2再進一步判斷網點P之IP位址是否於允許清單之表列(步驟S410)，當網點P之IP位址在允許清單之表列，則執行裝置2認定發生事件為一外部搶IP之非法事件(步驟S420)。當網點P之IP位址不在允許清單之表列，則執行裝置2判斷決策裝置1之動態IP功能是否啟用(步驟S430)。當決策裝置1之動態IP功能沒有啟用，則執行裝置2認定發生事件為一外部連結之非法事件(步驟S440)。當決策裝置1之動態IP功能有啟用，則執行裝置2判斷網點P之IP位址是否為一動態IP位址(步驟S450)。當網點P之IP位址不為動態IP位址，則執行裝置2認定發生事件為一外部連結之非法事件(步驟S460)。當網點P之IP位址為一動態IP位址，則執行裝置2判斷網點P之IP位址是否為一非法動態IP伺服器所派發之IP位址(步驟S470)，若是則執行裝置2認定發生事件為一非法動態IP伺服器IP之非法事件(步驟S480)，若不是則執行裝置2認定發生事件為一動態IP伺服器外部連結之非法事件(步驟S490)。其中步驟S420、步驟S440、步驟S460、步驟S480、及步驟S490後執行裝置2還進一步可將發生事件回傳至決策裝置1而予以儲存(步驟S700)。

而在步驟S600中，首先，執行裝置2判斷網點P之管理屬性是否為單一媒體存取控制位址(步驟S610)，當網點P之管理屬性為單一媒體存取控制位址時，則執行裝置2執行一單一媒體存取控制位址判斷步驟(步驟S620)，當網點P之管理屬性不為單一媒體存取控制位址時，則執行裝置2執行一非單一媒體存取控制位址判斷步驟(步驟S630)，如第4圖所示。

單一媒體存取控制位址判斷步驟之詳細流程如第5圖所示。首先，執行裝置2判斷網點P之IP位址是否在允許清單之表列中(步驟S621)。若網點P之IP位址在允許清單之表列中，則執行裝置2認定發生事件為一內部搶IP之非法事件(步驟S622)。若網點之IP位址不在允許清單之表列中，則執行裝置2認定發生事件為一合法事件(步驟S623)。其中步驟S622、步驟S623後執行裝置2還進一步可將發生事件回傳至決策裝置1而予以儲存(步驟S700)。

如第6圖所示，非單一媒體存取控制位址判斷步驟包括執行裝置2判斷網點P之管理屬性是否為包括具有動態IP之媒體存取控制位址(步驟S631)。當網點P之管理屬性包括具有動態IP之媒體存取控制位址時，則執行裝置2判斷決策裝置1之動態IP功能是否有啟用(步驟S632)。若決策裝置1之動態IP功能沒有啟用，則執行裝置2進行下一筆允許清單之判斷(步驟S645)。若決策裝置1之動態IP功能有啟用，則執行裝置2判斷網點P之管理屬性是否為動態IP(步驟S633)。若網點P之IP類型不為動態IP，則執行裝置2認定發生事件為一動態IP改固定IP之非法事件(步驟S634)。若網點P之IP類型為動態IP，則執行裝置判斷網點P之IP位址是否為非法動態IP伺服器所派發之IP位址(步驟S635)。若網點P之IP位址為非法動態IP伺服器所派發之IP位址，則執行裝置2認定發生事件為一非法動態IP伺服器之非法事件(步驟S636)。若網點P之IP位址不為非法動態IP伺服器所派發之IP位址，則執行裝置2認定發生事件為一合法事件(步驟S637)。其中步驟S634、步驟S636、步驟S637後執行裝置2還進一步可將發生事件回傳至決策裝置1而予以儲存(步驟S700)。

非單一媒體存取控制位址判斷步驟還包括在步驟S631後，當網點P之管理屬性為不具有動態IP之媒體存取控制位址時，執行裝置2判斷網點P之管理屬性是否為具有固定IP之媒體存取控制位址(步驟S640)。若網點P之管理屬性不為具有固定IP之媒體存取控制位址，則執行裝置2進行下一筆允許清單之判斷(步驟S645)。若網點P之管理屬性為具有固定IP之媒體存取控制位址時，則執行裝置2判斷決策裝置1之動態IP功能是否有啟用(步驟S641)。若決策裝置1之動態IP功能有啟用，則執行裝置2判斷網點P之管理屬性之IP類型是否為動態IP(步驟S642)。若網點P之管理屬性之IP類型為動態IP，則執行裝置2認定發生事件為一固定IP改動態IP之非法事件(步驟S643)。若步驟S641中執行裝置2判斷決策裝置1之動態IP功能沒有啟用，或是步驟S642中執行裝置2判斷網點P之管理屬性之IP類型不為動態IP，則執行裝置2判斷網點P之IP位址是否相符於允許清單(步驟S644)。若相符則執行裝置2進行下一筆允許清單之判斷(步驟S645)。若不相符則執行裝置2判斷網點P之IP是否在允許清單之表列(步驟S646)，若是則執行裝置2認定發生事件為一內部搶IP之非法事件(步驟S647)，若不是則認定發生事件為一內部改IP之非法事件(步驟S648)。其中步驟S643、步驟S647、及步驟S648後執行裝置2還進一步可將發生事件回傳至決策裝置1而予以儲存(步驟S700)。

以上之敘述僅為本發明之較佳實施例說明，凡精於此項技藝者當可依據上述之說明而作其它種種之改良，惟這些改變仍屬於本發明之發明精神及以下所界定之專利範圍中。

100‧‧‧網路監控系統

1‧‧‧決策裝置

2‧‧‧執行裝置

N‧‧‧網路

P‧‧‧網點

S‧‧‧網段

第1圖係顯示本發明之一實施例之用以認定網點之發生事件之方法之流程圖。

第2圖係顯示本發明之一實施例之用以認定網點之發生事件之方法所應用之網路監控系統之示意圖。

第3圖係顯示本發明之一實施例之一非法事件類型判斷步驟之流程圖。

第4圖係顯示本發明之一實施例之一媒體存取控制位址判斷步驟之流程圖。

第5圖係顯示本發明之一實施例之單一媒體存取控制位址判斷步驟之流程圖。

第6圖係顯示本發明之一實施例之非單一媒體存取控制位址判斷步驟之流程圖。

Claims

一種用以認定網點之發生事件之方法，包含下列步驟：(a)判斷該網點之IP位址是否在一IP管理區段內；(b)當該網點之IP位址不在該IP管理區段內，則認定該發生事件為一區段外之非法事件；(c)當該網點之IP位址在該IP管理區段內，則判斷該網點之媒體存取控制位址是否在一允許清單之表列；(d)當該網點之媒體存取控制位址不在該允許清單之表列，則認定該發生事件為非法事件；(e)當該網點之媒體存取控制位址在該允許清單之表列，則取出與該媒體存取控制位址對應之允許清單之表列；以及(f)自該允許清單之表列逐一取出允許清單並與該網點之管理屬性比對，而認定該網點之發生事件，其中該網點之管理屬性為選自以：單一媒體存取控制位址、一媒體存取控制位址與一動態IP位址、一媒體存取控制位址與一固定IP位址、單一IP位址搭配多個媒體存取控制位址、以及單一媒體存取控制位址搭配多個IP位址所構成之群組中之一個或多數個。
如申請專利範圍第1項之方法，其中在步驟(d)中，判斷該網點之IP位址是否於該允許清單之表列，當該網點之IP位址在該允許清單之表列，則認定該發生事件為一外部搶IP之非法事件。
如申請專利範圍第2項之方法，其中在步驟(d)中，當該網點之IP位址不在該允許清單之表列，則判斷動態IP功能是否啟用，當動態IP功能沒有啟用，則認定該發生事件為一外部連結之非法事件。
如申請專利範圍第3項之方法，其中在步驟(d)中，當動態IP功能有啟用，則判斷該網點之IP位址是否為一動態IP位址，當該網點之IP位址不為該動態IP位址，則認定該發生事件為一外部連結之非法事件。
如申請專利範圍第4項之方法，其中在步驟(d)中，當該網點之IP位址為一動態IP位址，則判斷該網點之IP位址是否為一非法動態IP伺服器所派發之IP位址，若是則認定該發生事件為一非法動態IP伺服器IP之非法事件，若不是則認定該發生事件為一動態IP伺服器外部連結之非法事件。
如申請專利範圍第1項之方法，其中在步驟(f)中，判斷該網點之管理屬性是否為單一媒體存取控制位址，當該網點之管理屬性為單一媒體存取控制位址時則執行一單一媒體存取控制位址判斷步驟，當該網點之管理屬性不為單一媒體存取控制位址時，則執行一非單一媒體存取控制位址判斷步驟。
如申請專利範圍第6項之方法，其中該單一媒體存取控制位址判斷步驟為判斷該網點之IP位址是否在該允許清單之表列中，若該網點之IP位址在該允許清單之表列中，則認定該發生事件為一內部搶IP之非法事件，若該網點之IP位址不在該允許清單之表列中，則認定該發生事件為一合法事件。
如申請專利範圍第6項之方法，其中該非單一媒體存取控制位址判斷步驟包括，當該網點之管理屬性為包括具有動態IP之媒體存取控制位址時，若動態IP功能有啟用且該網點之IP類型不為動態IP，則認定該發生事件為一動態IP改固定IP之非法事件，若動態IP功能有啟用且該網點之IP類型為動態IP且屬於非法動態IP伺服器所派發之IP位址，則認定該發生事件為一非法動態IP伺服器之非法事件，若動態IP功能有啟用且該網點之IP類型為屬於動態IP但不屬於非法動態IP伺服器所派發之IP位址，則認定該發生事件為一合法事件。
如申請專利範圍第6項之方法，其中該非單一媒體存取控制位址判斷步驟包括，當該網點之管理屬性為包括具有固定IP之媒體存取控制位址時，若動態IP功能有啟用且IP類型為動態IP，則認定該發生事件為一固定IP改動態IP之非法事件，否則判斷該網點之IP位址是否相符於該允許清單，若相符則進行下一筆允許清單之判斷，若不相符則判斷該網點之IP是否在該允許清單之表列，若是則認定該發生事件為一內部搶IP之非法事件，若不是則認定該發生事件為一內部改IP之非法事件。