WO2010036054A2 - Ａｒｐ 공격 감지 방법 및 이를 이용한 시스템 - Google Patents

Ａｒｐ 공격 감지 방법 및 이를 이용한 시스템 Download PDF

Info

Publication number
WO2010036054A2
WO2010036054A2 PCT/KR2009/005491 KR2009005491W WO2010036054A2 WO 2010036054 A2 WO2010036054 A2 WO 2010036054A2 KR 2009005491 W KR2009005491 W KR 2009005491W WO 2010036054 A2 WO2010036054 A2 WO 2010036054A2
Authority
WO
WIPO (PCT)
Prior art keywords
terminal
packet
arp
address
dangerous
Prior art date
Application number
PCT/KR2009/005491
Other languages
English (en)
French (fr)
Other versions
WO2010036054A3 (ko
Inventor
김지훈
김주생
Original Assignee
주식회사 안철수연구소
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 주식회사 안철수연구소 filed Critical 주식회사 안철수연구소
Publication of WO2010036054A2 publication Critical patent/WO2010036054A2/ko
Publication of WO2010036054A3 publication Critical patent/WO2010036054A3/ko

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L12/00—Data switching networks
    • H04L12/02—Details
    • H04L12/22—Arrangements for preventing the taking of data from a data transmission channel without authorisation

Definitions

  • the present invention relates to a method for monitoring a packet on an individual terminal, and more particularly, ARP (Address Resolution Protocol) scanning and inbound ARP packet inbound, which are inbound attack patterns of malicious code, to an individual terminal.
  • ARP Address Resolution Protocol
  • the present invention relates to an ARP attack detection system and method for detecting and blocking an IP packet forgery attack that is attacked and in / outbound.
  • ARP Address Resolution Protocol
  • ARP refers to a protocol that acts as a DNS that connects Ethernet addresses and IP addresses on an IP network. For example, when the terminal A on the local LAN wants to communicate with the terminal B, the terminal A uses the IP address of the terminal B to obtain the Ethernet address of the terminal B. The ARP Request packet is broadcasted on the local LAN. At this time, the terminal A receives the ARP request of the terminal A confirms that it matches the IP, and by sending an ARP reply packet including its Ethernet address to the terminal A, mutual communication is performed. Will be done.
  • ARP is a protocol used to find a MAC address of a counterpart user having a specific IP address on an Ethernet network.
  • ARP does not have an authentication scheme for a user generating a packet.
  • the vulnerability of the APR protocol is easy to spoofing attack because there is no authentication process for the source of the ARP packet.
  • a man-in-the-middle (MITM) attack technique using ARP spoofing has been reported to reach a serious level of users as it is used in an IFRAME insertion technique for distributing malware.
  • a malicious attacker can change the ARP cache table of devices and network devices on a local LAN through an ARP spoofing attack, and the change inflows packets to terminals and network devices on the local LAN to a malicious attacker.
  • various hacks have been attempted on incoming packets.
  • the present invention has been made to solve the above problems, an object of the present invention, ARP (Address Resolution Protocol) scanning inbound (Inbound) to the individual terminal on the local LAN where the infected terminal is being attacked (
  • ARP Address Resolution Protocol
  • the present invention provides a packet monitoring system and method for detecting and blocking an ARP packet forgery attack that is inbound and an IP packet forgery that is in / outbound.
  • ARP attack detection method for achieving the above object in the plurality of terminals connected to the network, detects the number of ARP Request packets inbound (Inbound) to the individual terminal, inbound to the individual terminal for a predetermined time If the number of times of receiving the ARP packet for each source IP address being inbound is greater than or equal to a predetermined value, a risk terminal detecting step of recognizing the source terminal as a risk terminal and storing the IP address and MAC address of the risk terminal.
  • the method may further include determining whether the ARP Request packet is broadcast.
  • the risk terminal detecting step may be performed only when the ARP Requst packet is broadcast.
  • the method may further include determining whether the IP of the terminal that has sent the ARP Request packet is the IP of the gateway, and the detecting of the risk terminal may be performed only when the IP of the terminal that is sent is not the gateway.
  • the predetermined time is preferably 1 second, and the predetermined set value is 50 times.
  • ARP Reply packet inbound to the individual terminal, determines whether the originating terminal of the ARP packet is a dangerous terminal, and if the originating terminal is a dangerous terminal, forgery ARP packet It is preferable to further include an attack detection step.
  • the method may further include determining whether the ARP Reply packet is unicast, and the ARP attack detection step may be performed only when the ARP Reply packet is unicast.
  • the source MAC address of the ARP packet is included in the MAC address of the dangerous terminal, the source terminal is determined as the dangerous terminal, and the source IP address of the ARP packet corresponds to the MAC address. It is desirable to determine whether or not the address matches, and if not, determine that the IP address is forged.
  • Receives an IP packet inbound to the individual terminal determines whether the source terminal of the IP packet is a dangerous terminal, and if the source terminal is a dangerous terminal, receives a fake IP packet that determines whether the IP address is forged. It is preferable to further include a sensing step.
  • the counterfeit IP packet reception detecting step determines that the source IP address is a dangerous terminal when the source MAC address of the IP packet is included in the MAC address of the dangerous terminal, and the source IP address of the IP packet does not correspond to an address on the local LAN. If not, it is desirable to determine that the IP address is forged.
  • the destination MAC address of the IP packet when the destination MAC address of the IP packet is included in the MAC address of the dangerous terminal, the destination is determined to be a dangerous terminal, and the destination IP address of the IP packet does not correspond to an address on the local LAN. If not, it is desirable to determine that the IP address is forged.
  • the ARP attack detecting terminal detects the number of ARP request packets that are inbound to the individual terminals in a plurality of terminals connected to a network, and is inbound to the individual terminals for a predetermined time.
  • the terminal is recognized as a risk terminal, and includes a risk terminal detection module for storing the IP address and MAC address of the risk terminal.
  • Forgery ARP packet attack detection to detect the inbound ARP Reply packet to the individual terminal, determine whether the source of the ARP packet is a dangerous terminal, and determine whether the IP address is forged if the source is a dangerous terminal It further includes a module.
  • IP packet reception detection module for determining whether the IP address forgery It includes more.
  • a computer-readable recording medium on which a program according to the present invention in a plurality of terminals connected by a network, the number of ARP Request packets inbound to the individual terminals is detected and the individual for a predetermined time. If the number of receiving the ARP packet for each source IP address inbound to the terminal is more than a predetermined value, the terminal detects the terminal as a risk terminal, and detects the risk terminal for storing the IP address and MAC address of the risk terminal The program that can be run is recorded.
  • ARP Address Resolution Protocol
  • FIG. 1 is a view showing a general system on a local LAN
  • FIG. 2 is a flowchart illustrating a method of performing an ARP SCAN detection method according to an embodiment of the present invention
  • FIG. 3 is a flowchart illustrating a method of detecting when a dangerous terminal attempts to attack
  • FIG. 4 is a flowchart illustrating a blocking method when a forged IP packet is inbound
  • FIG. 5 is a flowchart illustrating a blocking method when a forged IP packet is outbound.
  • FIG. 1 is a diagram illustrating a system on a general local LAN including a plurality of terminals and network devices.
  • PC 110 has IP address 192.168.0.1 and MAC address XX-10 (short for convenience)
  • PC 120 has IP address 192.168.0.11 and MAC address XX-20
  • PC 130 as well Assumes that the IP address is 192.168.0.12 and the MAC address is XX-25.
  • the malicious code infected with PC 110 performs the process of sending broadcasts to all terminals on its local LAN before ARP packet forgery attack. That is, PC 110 broadcasts ARP request packets from 192.168.0.2 to 192.168.0.255 on all its networks. If you broadcast to 192.168.0.11 during this broadcast, PC 120 will respond. If you broadcast to 192.168.0.12, PC 130 will respond. Knowing the existence of PC 130, they will be targeted.
  • FIG. 2 is a flowchart illustrating a method of performing a dangerous terminal detection method according to an embodiment of the present invention by using the malicious code detection method in reverse.
  • the terminal can be determined to be infected with the malicious code.
  • the detection method will be described in more detail below.
  • the ARP SCAN detection method of the present invention is executed by a module installed in a PC that is not infected with malware, such as 120 or 130.
  • an inbound packet is received (S210).
  • the ARP request packet is broadcast to the PCs configured in the local LAN. This is to prevent the system from detecting the normal activity of the gateway.
  • the IP of the terminal that sent the packet is not the IP of the gateway (S240), after subtracting the present time from the time when the sender IP is first stored in a hash table, it is determined whether the time is within 1 second, and 1 If seconds have passed, the hash tables are initialized (S250, S254, S258).
  • the number of times corresponding to the sender IP is increased to 1 in the hash table (S260). After that, if a specific IP is broadcasted more than the threshold number within one second (S270-Y), the IP address and the Mac address of the sent terminal is stored (S280).
  • the stored IP address and the Mac address are managed by a risk terminal that is in danger of attempting an ARP spoofing attack.
  • the terminal thus stored is hereinafter referred to as a dangerous terminal.
  • the terminal when a certain number of broadcasts are broadcasted within a second or more, the terminal is stored as a risk terminal, where 1 second is only one embodiment used for convenience of description. Therefore, in addition to 1 second, it may be changed according to various situations, and it is appropriate to add or subtract such time limit according to the pattern of malicious code.
  • FIG. 3 is a diagram illustrating a method of detecting when the dangerous terminal attempts to attack by using the IP address and the MAC address of the dangerous terminal stored in FIG.
  • the terminal (or terminals) stored through the process of FIG. 2 is called a dangerous terminal, and the terminal detected in FIG. 3 is called an attack terminal.
  • the malware first performs a process of sending a broadcast, scans first for any terminals on the local LAN, and then forges its own IP address to find other terminals (that is, multiple PCs connected to the local LAN). And an ARP response to the network device).
  • PC 110 which is an infected PC in FIG. 1, knows that PCs 192.168.0.11 and 192.168.0.12 exist on the local LAN through an ARP scan.
  • PC 130 sends ARP Requst to communicate with PC 120
  • PC 120 responds itself and thus communication between 130 and 120 is made.
  • 110 responds as if it were 120 PCs (that is, after deceiving its IP address to 192.168.0.11) to communicate between 130 and 110.
  • PC 130 recognizes that it is communicating with 120, not 110.
  • the ARP attack terminal can be detected by using the characteristics of the malware that performs such ARP spoofing (hereinafter referred to as ARP attack).
  • the process of FIG. 2 stores the MAC address and IP address of PC 110 as a risk terminal. Thereafter, when the ARP response packet is received, it is determined whether the MAC address of the terminal sending the response packet matches the MAC address of the dangerous terminal, and if it matches, it can be seen that the terminal sending the response packet is a dangerous terminal. After that, it is checked whether the IP address of the terminal that has sent the response packet is an IP address corresponding to the MAC address, and if it is different, it is determined that the dangerous terminal has sent the IP address in disguise.
  • an inbound packet is received (S310).
  • the MAC address and IP address of the terminal that sent the packet are extracted.
  • the MAC address of the terminal sending the ARP Reply is one of the MAC addresses of the dangerous terminal (S340-Y)
  • the dangerous terminal since the dangerous terminal is stored as a MAC address and an IP address pair, it may be compared with the stored MAC address and the corresponding IP address.
  • the ARP attack is not limited to communication in the local LAN, but is also used when a specific PC communicates with an external web server on the local LAN.
  • PC 120 accesses an external website through the gateway 140.
  • PC 110 the attacker's PC, responded that the PC was 120.
  • the ARP Cache of the gateway (or switch) is contaminated.
  • the packet is normally moved between the web server-> gateway 140-> PC 120, but the gateway 140 does not send the packet to the PC 120 and sends the packet to 110.
  • the packet is moved between the web server-> gateway 140-> PC 110-> PC 120, and PC 110 injects malicious code into the web packet using Iframe. It is possible to attack such as deliver it to PC 120 at the same time.
  • FIG. 4 is a flowchart illustrating a blocking method when a forged IP packet corresponding to the above attack is inbound.
  • the MAC address of the source namely Ethernet.SMAC
  • Ethernet.SMAC Ethernet.SMAC
  • IP.SrclP that is, the IP address of the source corresponds to the address of the local LAN (S530). Whether it is an address on the local LAN can be calculated using IP / Subnet information. For example, if the IP address of the local terminal is 192.168.0.1/255.255.255.0, the address of the local LAN is in the range of 192.168.0.1 to 192.168.0.254. If it is within this range, it is an address on the local LAN.
  • the source IP address is not an address on the local LAN (S530-Y)
  • this is an IP packet coming from an external network, and it is determined that the packet is a forged packet because the dangerous terminal intercepts it. Therefore, the packet is blocked (S550), or a warning window is displayed to inform the user that an attack is attempted.
  • This method can also be applied to outbound IP packets.
  • FIG. 5 is a flowchart illustrating a blocking method when a forged IP packet is outbound.
  • an outbound IP packet is received (S610).
  • the MAC address of the Ethernet.DMAC i.e., the destination, is extracted from the IP packet, and it is determined whether the MAC address corresponds to the MAC address of the dangerous terminal (S620).
  • the MAC address of the source corresponds to the MAC address of the dangerous terminal (S620-Y)
  • a PC has been described as an example of a terminal, but such a PC is merely an embodiment for convenience of description. Accordingly, the present invention can be applied to any terminal that accesses a network with a MAC address and an IP address.
  • a malicious terminal attempts to attack with a forged ARP packet and a forged IP packet by using a process of scanning a malicious code
  • the information stored in the list is stored. This is about the system to detect the problem.
  • the terminal is selected as a risk terminal and stored in the list, it is also possible to delete the risk terminal from the risk terminal list if the risk terminal has not attempted the attack for a predetermined time without being left in the list.
  • the present embodiment has been described with a gateway as a device for connecting a local LAN network and an external network, but for convenience of explanation, only the network device performing the same function is applicable to any of the present invention Of course it can.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Hardware Design (AREA)
  • Signal Processing (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Software Systems (AREA)
  • Computing Systems (AREA)
  • General Physics & Mathematics (AREA)
  • Physics & Mathematics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)
  • Small-Scale Networks (AREA)

Abstract

본 발명은 개별 단말기상의 패킷 감시 방안에 관한 것으로, 더욱 상세하게는 개별 단말기로 악성코드의 공격 패턴인 인바운드(Inbound)되는 ARP(Address Resolution Protocol) 스캐닝(Scanning), 인바운드(Inbound)되는 ARP 패킷 위조 공격 및 인/아운바운드(In/Outbound)되는 IP 패킷 위조 공격을 검출 및 차단하는 ARP 공격 감지 시스템 및 그 방법에 관한 것이다. 본 ARP 공격 감지 방법은, 네트워크로 연결된 다수의 단말기에 있어서 상기 개별 단말기로 인바운드(Inbound)되는 ARP Request 패킷의 횟수를 감지하며, 소정 시간 동안 상기 개별 단말기로 인바운드(Inbound)되는 출발지 IP주소별 ARP 패킷의 수신 횟수가 소정의 설정치 이상일 경우, 상기 출발지 단말기를 위험단말기로 인식하고, 상기 위험단말기의 IP 주소 및 MAC 주소를 저장하는 위험단말기 감지단계를 포함하는 것을 특징으로 한다.

Description

ＡＲＰ 공격 감지 방법 및 이를 이용한 시스템
본 발명은 개별 단말기상의 패킷 감시 방안에 관한 것으로, 더욱 상세하게는 개별 단말기로 악성코드의 공격 패턴인 인바운드(Inbound)되는 ARP(Address Resolution Protocol) 스캐닝(Scanning), 인바운드(Inbound)되는 ARP 패킷 위조 공격 및 인/아운바운드(In/Outbound)되는 IP 패킷 위조 공격을 검출 및 차단하는 ARP 공격 감지 시스템 및 그 방법에 관한 것이다.
ARP(Address Resolution Protocol; 어드레스 해결 프로토콜)는 IP 네트워크 상에서의 이더넷(Ethernet) 주소와 IP주소를 서로 연결시켜주는 DNS 역할을 하는 프로토콜을 지칭한다. 예컨대, 로컬 랜(LAN)상의 단말기(A)가 단말기(B)와 통신을 하고자 할 때, 단말기(A)는 단말기(B)의 이더넷 주소를 얻어내기 위해 단말기(B)의 IP주소를 이용하여 ARP 요청(Request) 패킷을 로컬 랜(LAN) 상에 브로드캐스트(Broadcast) 하게 된다. 이때, 단말기(A)의 ARP 요청을 수신한 단말기(B)는 자신의 IP와 일치함을 확인하고, 단말기(A)에게 자신의 이더넷 주소를 포함한 ARP 응답(Reply) 패킷을 전송함으로써 상호 통신이 이루어지게 된다.
그러나, ARP는 본래 이더넷 네트워크상에서 특정 IP 주소를 갖는 상대 사용자의 MAC 주소를 찾는데 사용되는 프로토콜로서, 일반적으로 패킷을 발생시키는 사용자에 대한 인증 방안이 마련되어 있지 않다. 즉, APR 프로토콜의 취약점은 ARP 패킷의 출발지에 대한 인증과정이 없기 때문에 쉽게 스푸핑(Spoofing) 공격이 가능하다.
이와 관련하여, 최근에는 ARP 스푸핑을 이용한 MITM(Man-In-the-Middle) 공격 기술이 악성코드 유포를 위한 IFRAME 삽입 기술에 활용되면서 사용자의 심각한 수준에 도달한 것으로 보고되고 있다. 즉, 악의적인 공격자는 ARP 스푸핑 공격을 통해 로컬 랜 상의 단말기 및 네트워크 장비들의 ARP 캐쉬(Cache) 테이블을 변경할 수 있고, 이러한 변경으로 인하여 로컬 랜 상의 단말기 및 네트워크 장비로의 패킷이 악의적인 공격자에게 유입되어, 유입된 패킷에 대한 각종 해킹이 시도되고 있는 실정이다.
본 발명은 상기와 같은 문제점을 해결하기 위하여 안출된 것으로서, 본 발명의 목적은, 공격이 진행되고 있는 감염 단말기가 위치한 로컬 랜 상에서 상기 개별단말기로 인바운드(Inbound)되는 ARP(Address Resolution Protocol) 스캐닝(Scanning), 인바운드(Inbound)되는 ARP 패킷 위조 공격 및 인/아웃바운드(In/Outbound) 되는 IP 패킷 위조 공격을 검출 및 차단하기 위한 패킷 감시 시스템 및 그 방법을 제공함에 있다.
상기 목적을 달성하기 위한 본 발명에 따른 ARP 공격 감지 방법은 네트워크로 연결된 다수의 단말기에 있어서, 상기 개별 단말기로 인바운드(Inbound)되는 ARP Request 패킷의 횟수를 감지하며, 소정 시간 동안 상기 개별 단말기로 인바운드(Inbound)되는 출발지 IP주소별 ARP 패킷의 수신 횟수가 소정의 설정치 이상일 경우, 상기 출발지 단말기를 위험단말기로 인식하고, 상기 위험단말기의 IP 주소 및 MAC 주소를 저장하는 위험단말기 감지단계를 포함한다.
그리고 상기 ARP Request 패킷이 브로트캐스트인지를 판단하는 단계를 더 포함하고, 상기 위험단말기 감지단계는 상기 ARP Requst 패킷이 브로드캐스트인 경우에만 수행하는 것이 바람직하다.
또한 상기 ARP Request 패킷을 발송한 단말기의 IP가 게이트웨이의 IP인지를 판단하는 단계를 더 포함하고, 상기 위험단말기 감지단계는 발송한 단말기의 IP가 게이트웨이가 아닌 경우에만 수행하는 것이 바람직하다.
그리고 상기 소정 시간은 1초이고, 상기 소정의 설정치는 50회인 것이 바람직하다.
또한 상기 개별 단말기로 인바운드(Inbound)되는 ARP Reply 패킷을 감지하고, 상기 ARP 패킷의 출발지 단말기를 위험단말기인지를 판단하고, 출발지 단말기가 위험단말기인 경우에는 IP 주소의 위조여부를 판단하는 위조ARP패킷 공격감지단계를 더 포함하는 것이 바람직하다.
그리고 상기 ARP Reply 패킷이 유니캐스트인지를 판단하는 단계를 더 포함하고, 상기 ARP공격 감지단계는 상기 ARP Reply 패킷이 유니캐스트인 경우에만 수행하는 것이 바람직하다.
또한 위조ARP패킷 공격감지단계는 상기 ARP 패킷의 출발지 MAC주소가 위험단말기의 MAC 주소에 포함되는 경우에 출발지 단말기를 위험단말기로 판단하고, 상기 ARP 패킷의 출발지 IP주소가 상기 MAC주소와 대응되는 IP주소와 일치하는지 여부를 판단하고, 일치하지 않으면 IP 주소가 위조된 것으로 판단하는 것이 바람직하다.
그리고 상기 개별 단말기로 인바운드(Inbound)되는 IP 패킷을 수신하고, 상기 IP 패킷의 출발지 단말기가 위험단말기인지를 판단하고, 출발지 단말기가 위험단말기인 경우에는 IP 주소의 위조여부를 판단하는 위조IP패킷 수신감지단계를 더 포함하는 것이 바람직하다.
또한 상기 위조IP패킷 수신감지단계는 상기 IP 패킷의 출발지 MAC주소가 위험단말기의 MAC 주소에 포함되는 경우에 출발지를 위험단말기로 판단하고, 상기 IP 패킷의 출발지 IP주소가 로컬 랜상의 주소에 해당하지 않는 경우에IP 주소가 위조된 것으로 판단하는 것이 바람직하다.
그리고 상기 개별 단말기에서 아웃바운드(Outbound)되는 IP 패킷을 수신하고, 상기 IP 패킷의 도착지가 위험단말기인지를 판단하고, 도착지가 위험단말기인 경우에는 IP 주소의 위조여부를 판단하는 위조IP패킷 송신감지단계를 더 포함하는 것이 바람직하다.
또한 상기 위조IP패킷 송신감지단계는 상기 IP 패킷의 도착지 MAC주소가 위험단말기의 MAC 주소에 포함되는 경우에 도착지가 위험단말기로 판단하고, 상기 IP 패킷의 도착지 IP주소가 로컬 랜상의 주소에 해당하지 않는 경우에 IP 주소가 위조된 것으로 판단하는 것이 바람직하다.
한편, 본 발명에 따른 ARP 공격 감지 단말기는 네트워크로 연결된 다수의 단말기에 있어서, 상기 개별 단말기로 인바운드(Inbound)되는 ARP Request 패킷의 횟수를 감지하며, 소정 시간 동안 상기 개별 단말기로 인바운드(Inbound)되는 출발지 IP주소별 ARP 패킷의 수신 횟수가 소정의 설정치 이상일 경우, 상기 출발지 단말기를 위험단말기로 인식하고, 상기 위험단말기의 IP 주소 및 MAC 주소를 저장하는 위험단말기 감지모듈을 포함한다.
그리고 상기 개별 단말기로 인바운드(Inbound)되는 ARP Reply 패킷을 감지하고, 상기 ARP 패킷의 출발지가 위험단말기인지를 판단하고, 출발지가 위험단말기인 경우에는 IP 주소의 위조여부를 판단하는 위조ARP패킷 공격감지모듈을 더 포함한다.
상기 개별 단말기로 인바운드(Inbound)되는 IP 패킷을 수신하고, 상기 IP 패킷의 출발지가 위험단말기인지를 판단하고, 출발지가 위험단말기인 경우에는 IP 주소의 위조여부를 판단하는 위조IP패킷 수신감지모듈을 더 포함한다.
그리고 상기 개별 단말기에서 아웃바운드(Outbound)되는 IP 패킷을 수신하고, 상기 IP 패킷의 도착지가 위험단말기인지를 판단하고, 도착지가 위험단말기인 경우에는 IP 주소의 위조여부를 판단하는 위조IP패킷 송신감지모듈을 더 포함한다.
한편, 본 발명에 따른 프로그램이 기록된 컴퓨터로 읽을 수 있는 기록매체에는 네트워크로 연결된 다수의 단말기에 있어서, 상기 개별 단말기로 인바운드(Inbound)되는 ARP Request 패킷의 횟수를 감지하며, 소정 시간 동안 상기 개별 단말기로 인바운드(Inbound)되는 출발지 IP주소별 ARP 패킷의 수신 횟수가 소정의 설정치 이상일 경우, 상기 출발지 단말기를 위험단말기로 인식하고, 상기 위험단말기의 IP 주소 및 MAC 주소를 저장하는 위험단말기 감지단계를 수행할 수 있는 프로그램이 기록된다.
이상 설명한 바와 같이, 본 발명에 따르면, 감염 단말기가 위치한 로컬 랜 상에서 상기 개별단말기로 인바운드(Inbound)되는 ARP(Address Resolution Protocol) 스캐닝(Scanning), 인바운드(Inbound)되는 ARP 패킷 위조 공격 및 인/아웃바운드(In/Outbound) 되는 IP 패킷 위조 공격을 감지할 수 있게 된다.
도 1은 로컬 랜 상의 일반적인 시스템의 모습을 도시한 도면,
도 2는 본 발명의 일 실시예에 따라서 ARP SCAN 탐지 방법을 수행하는 방법을 도시한 흐름도,
도 3은 위험단말기가 공격을 시도하는 경우에 이를 감지하는 방법을 도시한 흐름도,
도 4는 위조된 IP패킷이 인바운드 되는 경우의 차단 방법을 도시한 흐름도 및
도 5는 위조된 IP패킷이 아웃바운드 되는 경우의 차단 방법을 도시한 흐름도이다.
이하에서는 도면을 참조하여 본 발명을 보다 상세하게 설명한다.
도 1은 다수의 단말기와 네트워크 장치로 구성된 일반적인 로컬 랜 상의 시스템의 모습을 도시한 도면이다.
도 1에서 도시된 바와 같이 하나의 게이트웨이(140)와 세 3개의 PC(110,120,130)으로 구성된 로컬 랜이 있고, 여기서 110번 PC가 악성코드에 감염된 경우를 가정한다. 110번 PC는 IP 주소가 192.168.0.1이고 MAC 주소는 XX-10(편의상 간략하게 표현)인 경우이고, 120번 PC는 IP 주소가 192.168.0.11이고 MAC 주소는 XX-20, 그리고 마찬가지로 130번 PC는 IP 주소가 192.168.0.12이고 MAC 주소는 XX-25인 경우로 가정한다.
이 경우 110번 PC에 감염된 악성코드는 ARP 패킷 위조 공격을 하기 전에 자신의 로컬 랜상에 있는 모든 단말기들에 브로드캐스트를 보내는 과정을 먼저 수행한다. 즉 110번 PC는 자신의 모든 네트워크에서 192.168.0.2 부터 192.168.0.255까지 ARP 리퀘스트 패킷을 브로드캐스트한다. 이렇게 브로드캐스트하는 중에 192.168.0.11번으로 브로드캐스트하면 120번 PC가 응답을 하고, 192.168.0.12번으로 브로드캐스트하면 130번 PC가 응답을 하게 되어 결과적으로 110번 PC에서는 현재 로컬 랜상에 120번과 130번 PC의 존재를 알게 되고, 이들을 공격대상으로 삼게 된다.
도 2는 상기 악성코드의 감지방법을 역이용해서, 본 발명의 일 실시예에 따라서 위험단말기 탐지 방법을 수행하는 방법을 도시한 흐름도이다.
즉 악성코드의 상기 특징을 이용해서, 특정 단말기에서 기정해진 시간(도 2의 예에서는 1초)이내에 기정해진 횟수이상(도 2의 예에서는 Threshold라는 변수를 사용했음. 일반적으로 50회정도) 브로드캐스트를 하면 이 단말기는 상기 악성코드에 감염된 것으로 판단할 수 있다.
이하에서 탐지 방법을 보다 자세히 설명한다.
본 발명의 ARP SCAN 탐지 방법은 120번 또는 130번과 같이 악성코드에 감염되지 않은 PC에 설치된 모듈에 의해서 실행된다.
우선 인바운드되는 패킷을 수신한다(S210).
이렇게 수신된 패킷이 브로드캐스트인지를 판단한다(S220).
브로드캐스트이고(S220-Y), 그리고 ARP Request 패킷이면(S230) 다시 이러한 패킷을 발송한 단말기의 IP가 게이트웨이의 IP인지를 판단한다(S240).
게이트웨이의 경우에는 실제로 로컬 랜에 구성된 PC들에게 ARP request 패킷을 브로드캐스드하는 바, 이러한 게이트웨이의 정상적인 활동인 경우에는 본 시스템에서 감지하지 않도록 하기 위함이다.
상기 패킷을 발송한 단말기의 IP가 게이트웨이의 IP가 아니라면(S240), 해쉬테이블에서 상기 발송자IP(SenderIP)가 최초로 저장된 시간에서 현재시간을 뺀 후, 이러한 시간이 1초 이내인지를 판단하고, 1초가 지났으면 상기 해쉬테이블을 초기화한다(S250,S254,S258).
패킷 발송한 시간으로부터 1초 이내인 경우라면(S254-Y), 해쉬테이블에 상기 발송자IP에 해당하는 회수 카운트를 1만큼 늘인다(S260). 이후 특정 IP에서 1초 이내에 Threshold 회수 이상 브로드캐스트했다면(S270-Y), 상기 발송한 단말기의 IP주소와 Mac 주소를 저장한다(S280).
상기 저장된 IP주소와 Mac 주소는 ARP 스푸핑(Spoofing) 공격을 시도할 위험성이 있는 위험단말기로 관리한다. 이렇게 저장된 단말기를 이하에서는 위험단말기라고 호칭한다.
물론 이외에 단말기에 상기 IP주소에 대한 정보와 함께 경고창을 뛰어주는 등의 기능 역시도 가능하다.
상기 실시예에서는 1초 이내에 특정회수 이상 브로드캐스트 하는 경우에 위험단말기로 저장하였는데, 여기서 1초는 설명의 편의상 사용된 일 실시예에 불과하다. 따라서 1초 이외에도 여러가지 상황에 따라서 변경하는 것도 무방하며, 이러한 제한시간은 악성코드의 패턴에 따라서 가감하는 것이 적절하다.
도 3은 상기 도 2에서 저장한 위험단말기의 IP주소와 MAC주소를 활용해서, 상기 위험단말기가 공격을 시도하는 경우에 이를 감지하는 방법을 도시한 도면이다. 도 2의 과정을 통해서 저장된 단말기(또는 단말기들)은 위험단말기로 호칭하고, 도 3에서 감지된 단말기는 공격단말기로 호칭한다.
악성코드들은 상술한 바와 같이 브로드캐스트를 보내는 과정을 먼저 수행해서 로컬랜상에 어떠한 단말기들이 있는지를 먼저 스캔한 후에, 자신의 IP주소를 위조해서 다른 단말기(즉 로컬 랜상에 연결되어 있는 다수의 PC들 및 네트워크 장치)에 ARP 응답을 보내는 방식으로 공격을 한다.
예를 들어 도 1에서 감염된 PC인 110번 PC는 ARP 스캔을 통해서 192.168.0.11번과 192.168.0.12번 PC가 로컬 랜상에 존재하는 것을 알고 있다.
이 때 만약에 130번 PC가 120번 PC와 통신하기 위해서 ARP Requst를 발송하면, 120번 PC는 자신이 응답을 하고 이렇게 되서 130번과 120번간에 통신이 이루어진다. 이때 110번이 마치 자신이 120번 PC인 것처럼 응답(즉 자신의 IP주소를 192.168.0.11으로 속인 후에)을 해서 130번과 110번간에 통신을 한다. 물론 이 경우에도 130번 PC는 110번이 아니고 120번과 통신하고 있는 것으로 인지한다.
이러한 ARP 스푸핑(이하 ARP 공격으로 호칭을 통일한다)을 하는 악성코드의 특징을 이용해서 ARP 공격단말기를 감지할 수 있다.
우선 도 2의 과정을 통해서 110번 PC의 MAC주소와 IP주소를 위험단말기로 저장하고 있다. 이후에 ARP 응답 패킷이 수신되면 응답 패킷을 보낸 단말기의 MAC 주소가 상기 위험단말기의 MAC주소와 일치하는지 판단하고, 만약 일치한다면 응답 패킷을 보낸 단말기는 위험단말기임을 알 수 있다. 이후에 응답 패킷을 보낸 단말기의 IP주소가 상기 MAC주소에 대응되는 IP주소인지를 검사하고 만약 다르다면 이는 위험단말기가 IP주소를 위장해서 발송한 것이므로, 공격으로 판단하면 된다.
도 3에서는 이러한 과정을 보다 상세히 설명하고 있다.
우선 인바운드 패킷을 수신한다(S310).
이렇게 수신된 패킷이 유니캐스트이고(S320-Y), ARP Reply라면(S330-Y) 상기 패킷을 발송한 단말기의 MAC주소와 IP주소를 추출한다.
상기 발송 단말기의 MAC주소가 위험단말기의 MAC주소에 포함되는지를 판단한다(S340).
상기 ARP Reply를 발송한 단말기의 MAC 주소가 위험단말기의 MAC주소 중 하나이면(S340-Y), 이번에는 발송 단말기의 IP주소가 상기 MAC주소와 대응되는 IP주소와 일치하는지를 검사한다(S360). 도 2에서 위험단말기를 저장할 때 MAC주소와 IP주소 쌍으로 저장하므로, 상기 저장된 MAC주소와 대응되는 IP주소와 비교하면 된다.
이렇게 IP주소를 비교한 결과 불일치하다면(S350-Y), 이는 위험단말기가 IP주소를 위장해서 ARP Reply 패킷을 보내온 것이다.
이러면 위조라고 판단(S360)하고, 상기 패킷을 차단한다(S370).
한편 이러한 ARP 공격은 로컬 랜내에서의 통신에서만 한정되는 것은 아니며, 로컬 랜 상에서 특정 PC가 외부의 웹서버와 통신할 경우에도 이용된다.
다시 도 1을 예로 들어, 120번 PC가 게이트웨이(140)를 통해서 외부의 웹사이트에 접속한 경우를 가정하자. 이 경우 공격자 PC인 110번 PC가 자신이 120번 PC인 것으로 ARP Reply를 하였고 이에 따라 게이트웨이(또는 스위치)의 ARP Cache는 오염되어 있다.
이에 따라서 웹서버-->게이트웨이(140)--> PC(120)간에 패킷의 이동이 정상적이나, 게이트웨이(140)는 120번 PC로 패킷을 보내지 못하고 110번으로 패킷을 보내는 사태가 발생한다.
즉 이 경우 웹서버-->게이트웨이(140)--> PC(110)-->PC(120)간에 패킷의 이동이 이루어지고, 110번 PC는 웹패킷에 Iframe 등을 이용해서 악성코드를 심어서 120번 PC에 전달하는 등의 공격이 가능하게 된다.
도 4는 상기와 같은 공격에 대응하기 위한 위조된 IP패킷이 인바운드 되는 경우의 차단 방법을 도시한 흐름도이다.
우선 인바운드되는 IP 패킷을 수신한다(S510).
이렇게 수신된 IP 패킷에서 Ethernet.SMAC 즉 출발지의 MAC 주소를 추출하고 이러한 MAC주소가 위험단말기의 MAC주소에 해당하는지를 판단한다(S520).
만약 출발지의 MAC주소가 위험단말기의 MAC주소에 해당한다면(S520-Y), 이번에는 IP.SrclP 즉 출발지의 IP 주소가 로컬 랜상의 주소에 해당하는지를 판단한다(S530). 로컬 랜상의 주소인지는 IP/Subnet 정보로 계산할 수 있다. 예를 들어 로컬단말기의 IP/MAC 정보가 192.168.0.1/255.255.255.0 인 경우 로컬 랜상의 주소는 192.168.0.1내지 192.168.0.254 범위에 속하게 된다. 이 범위에 해당하면 로컬 랜상의 주소이고, 포함되지 않으면 외부의 IP주소인 것으로 판단하면 된다.
만약 상기 출발지의 IP주소가 로컬 랜상의 주소가 아니라면(S530-Y), 이는 외부 네트워크에서 들어온 IP 패킷인데, 중간에 위험단말기가 가로채서 보내준 것이므로 위조된 패킷으로 판단한다(S540). 따라서 상기 패킷은 차단하고(S550), 또는 사용자에 공격이 시도되고 있음을 알리는 경고창을 띄운다.
이러한 방법은 아웃바운드 되는 IP패킷에서도 응용이 가능하다.
도 5는 위조된 IP패킷이 아웃바운드 되는 경우의 차단 방법을 도시한 흐름도이다.
우선 아웃바운드되는 IP 패킷을 수신한다(S610).
상기 IP 패킷에서 Ethernet.DMAC 즉 목적지의 MAC 주소를 추출하고 이러한 MAC주소가 위험단말기의 MAC주소에 해당하는지를 판단한다(S620).
만약 출발지의 MAC주소가 위험단말기의 MAC주소에 해당한다면(S620-Y), 이번에는 IP.DstlP 즉 도착지의 IP 주소가 로컬 랜상의 주소에 해당하는지를 판단한다(S630). 만약 상기 도착지의 IP주소가 로컬 랜상의 주소가 아니라면(S630-Y), 이는 외부 네트워크로 발송하는 IP 패킷인데, 중간에 위험단말기가 가로채려는 것이므로 위조된 패킷으로 판단한다(S640). 따라서 상기 패킷은 차단하고(S650), 또는 사용자에 공격이 시도되고 있음을 알리는 경고창을 띄운다.
지금까지, ARP 패킷 응답을 위조하는 방법으로 공격하는 악성코드를 감지하는 방법에 대해, 바람직한 실시예를 들어 상세히 설명하였다.
본 실시예에서는 단말기의 일 예로서 PC를 들어 설명하였으나, 이러한 PC는 설명의 편의를 위한 일 실시예에 불과하다. 따라서 MAC주소 및 IP 주소를 가지고 네트워크로 접속하는 단말기라면 그 어느 것이라도 본 발명이 적용될 수 있음은 물론이다.
한편 본 실시예에서는 일단 악성코드가 스캐닝하는 과정을 이용해서, 위험단말기 리스트를 저장한 후, 이 리스트에 저장된 정보를 이용해서 위조된 ARP패킷 및 위조된 IP패킷으로 위험단말기가 공격을 시도하는 경우를 감지하는 시스템에 대한 내용이다. 이 경우, 비록 위험단말기로 선정되어 리스트에 저장되어 있는 단말기라고 하더라도, 계속 리스트에 남기지 않고 일정시간 동안 위험단말기가 상기 공격을 시도한 적이 없다면 상기 위험단말기 리스트에서 삭제하는 것 역시도 가능하다.
또한 본 실시예에서는 로컬 랜 네트워크와 외부 네트워크를 연결하는 장치로서 게이트웨이를 들어 설명하였으나, 설명의 편의를 위한 일 실시예에 불과하며, 동일한 기능을 수행하는 네트워크 기기라면 그 어느 것이라도 본 발명이 적용될 수 있음은 물론이다.
이상에서는 본 발명의 바람직한 실시예에 대하여 도시하고 설명하였지만, 본 발명은 상술한 특정의 실시예에 한정되지 아니하며, 청구범위에서 청구하는 본 발명의 요지를 벗어남이 없이 당해 발명이 속하는 기술분야에서 통상의 지식을 가진자에 의해 다양한 변형실시가 가능한 것은 물론이고, 이러한 변형실시들은 본 발명의 기술적 사상이나 전망으로부터 개별적으로 이해되어져서는 안될 것이다.

Claims (15)

  1. 네트워크로 연결된 다수의 단말기에 있어서,
    상기 개별 단말기로 인바운드(Inbound)되는 ARP Request 패킷의 횟수를 감지하며, 소정 시간 동안 상기 개별 단말기로 인바운드(Inbound)되는 출발지 IP주소별 ARP 패킷의 수신 횟수가 소정의 설정치 이상일 경우, 상기 출발지 단말기를 위험단말기로 인식하고, 상기 위험단말기의 IP 주소 및 MAC 주소를 저장하는 위험단말기 감지단계를 포함하는 것을 특징으로 하는 ARP 공격 감지 방법.
  2. 제 1항에 있어서,
    상기 ARP Request 패킷이 브로트캐스트인지를 판단하는 단계를 더 포함하고, 상기 위험단말기 감지단계는 상기 ARP Requst 패킷이 브로드캐스트인 경우에만 수행하는 것을 특징으로 하는 ARP 공격 감지 방법.
  3. 제 2항에 있어서,
    상기 ARP Request 패킷을 발송한 단말기의 IP가 게이트웨이의 IP인지를 판단하는 단계를 더 포함하고, 상기 위험단말기 감지단계는 발송한 단말기의 IP가 게이트웨이가 아닌 경우에만 수행하는 것을 특징으로 하는 ARP 공격 감지 방법.
  4. 제 1항에 있어서,
    상기 개별 단말기로 인바운드(Inbound)되는 ARP Reply 패킷을 감지하고, 상기 ARP 패킷의 출발지 단말기가 위험단말기인지를 판단하고, 출발지 단말기가 위험단말기인 경우에는 IP 주소의 위조여부를 판단하는 위조ARP패킷 공격감지단계를 더 포함하는 것을 특징으로 하는 ARP 공격 감지 방법.
  5. 제 4항에 있어서,
    상기 ARP Reply 패킷이 유니캐스트인지를 판단하는 단계를 더 포함하고, 상기 ARP공격 감지단계는 상기 ARP Reply 패킷이 유니캐스트인 경우에만 수행하는 것을 특징으로 하는 ARP 공격 감지 방법.
  6. 제 4항에 있어서,
    위조ARP패킷 공격감지단계는
    상기 ARP 패킷의 출발지 MAC주소가 위험단말기의 MAC 주소에 포함되는 경우에 출발지 단말기를 위험단말기로 판단하고,
    상기 ARP 패킷의 출발지 IP주소가 상기 MAC주소와 대응되는 IP주소와 일치하는지 여부를 판단하고, 일치하지 않으면 IP 주소가 위조된 것으로 판단하는 것을 특징으로 하는 ARP 공격 감지 방법.
  7. 제 1항에 있어서,
    상기 개별 단말기로 인바운드(Inbound)되는 IP 패킷을 수신하고, 상기 IP 패킷의 출발지 단말기가 위험단말기인지를 판단하고, 출발지 단말기가 위험단말기인 경우에는 IP 주소의 위조여부를 판단하는 위조IP패킷 수신감지단계를 더 포함하는 것을 특징으로 하는 ARP 공격 감지 방법.
  8. 제 7항에 있어서,
    상기 위조IP패킷 수신감지단계는
    상기 IP 패킷의 출발지 MAC주소가 위험단말기의 MAC 주소에 포함되는 경우에 출발지를 위험단말기로 판단하고,
    상기 IP 패킷의 출발지 IP주소가 로컬 랜상의 주소에 해당하지 않는 경우에IP 주소가 위조된 것으로 판단하는 것을 특징으로 하는 ARP 공격 감지 방법.
  9. 제 1항에 있어서,
    상기 개별 단말기에서 아웃바운드(Outbound)되는 IP 패킷을 수신하고, 상기 IP 패킷의 도착지가 위험단말기인지를 판단하고, 도착지가 위험단말기인 경우에는 IP 주소의 위조여부를 판단하는 위조IP패킷 송신감지단계를 더 포함하는 것을 특징으로 하는 ARP 공격 감지 방법.
  10. 제 9항에 있어서,
    상기 위조IP패킷 송신감지단계는
    상기 IP 패킷의 도착지 MAC주소가 위험단말기의 MAC 주소에 포함되는 경우에 도착지가 위험단말기로 판단하고,
    상기 IP 패킷의 도착지 IP주소가 로컬 랜상의 주소에 해당하지 않는 경우에 IP 주소가 위조된 것으로 판단하는 것을 특징으로 하는 ARP 공격 감지 방법.
  11. 네트워크로 연결된 다수의 단말기에 있어서,
    상기 개별 단말기로 인바운드(Inbound)되는 ARP Request 패킷의 횟수를 감지하며, 소정 시간 동안 상기 개별 단말기로 인바운드(Inbound)되는 출발지 IP주소별 ARP 패킷의 수신 횟수가 소정의 설정치 이상일 경우, 상기 출발지 단말기를 위험단말기로 인식하고, 상기 위험단말기의 IP 주소 및 MAC 주소를 저장하는 위험단말기 감지모듈을 포함하는 것을 특징으로 하는 ARP 공격 감지 시스템.
  12. 제 11항에 있어서,
    상기 개별 단말기로 인바운드(Inbound)되는 ARP Reply 패킷을 감지하고, 상기 ARP 패킷의 출발지가 위험단말기인지를 판단하고, 출발지가 위험단말기인 경우에는 IP 주소의 위조여부를 판단하는 위조ARP패킷 공격감지모듈을 더 포함하는 것을 특징으로 하는 ARP 공격 감지 시스템.
  13. 제 11항에 있어서,
    상기 개별 단말기로 인바운드(Inbound)되는 IP 패킷을 수신하고, 상기 IP 패킷의 출발지가 위험단말기인지를 판단하고, 출발지가 위험단말기인 경우에는 IP 주소의 위조여부를 판단하는 위조IP패킷 수신감지모듈을 더 포함하는 것을 특징으로 하는 ARP 공격 감지 시스템.
  14. 제 11항에 있어서,
    상기 개별 단말기에서 아웃바운드(Outbound)되는 IP 패킷을 수신하고, 상기 IP 패킷의 도착지가 위험단말기인지를 판단하고, 도착지가 위험단말기인 경우에는 IP 주소의 위조여부를 판단하는 위조IP패킷 송신감지모듈을 더 포함하는 것을 특징으로 하는 ARP 공격 감지 시스템.
  15. 네트워크로 연결된 다수의 단말기에 있어서,
    상기 개별 단말기로 인바운드(Inbound)되는 ARP Request 패킷의 횟수를 감지하며, 소정 시간 동안 상기 개별 단말기로 인바운드(Inbound)되는 출발지 IP주소별 ARP 패킷의 수신 횟수가 소정의 설정치 이상일 경우, 상기 출발지 단말기를 위험단말기로 인식하고, 상기 위험단말기의 IP 주소 및 MAC 주소를 저장하는 위험단말기 감지단계를 수행할 수 있는 프로그램이 기록된 컴퓨터로 읽을 수 있는 기록매체.
PCT/KR2009/005491 2008-09-25 2009-09-25 Ａｒｐ 공격 감지 방법 및 이를 이용한 시스템 WO2010036054A2 (ko)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
KR10-2008-0094059 2008-09-25
KR1020080094059A KR101001900B1 (ko) 2008-09-25 2008-09-25 Ａｒｐ 공격 감지 방법 및 이를 이용한 시스템

Publications (2)

Publication Number Publication Date
WO2010036054A2 true WO2010036054A2 (ko) 2010-04-01
WO2010036054A3 WO2010036054A3 (ko) 2010-06-24

Family

ID=42060293

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/KR2009/005491 WO2010036054A2 (ko) 2008-09-25 2009-09-25 Ａｒｐ 공격 감지 방법 및 이를 이용한 시스템

Country Status (2)

Country Link
KR (1) KR101001900B1 (ko)
WO (1) WO2010036054A2 (ko)

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101888329A (zh) * 2010-04-28 2010-11-17 北京星网锐捷网络技术有限公司 地址解析协议报文的处理方法、装置及接入设备
CN107204889A (zh) * 2016-03-16 2017-09-26 佛山市顺德区顺达电脑厂有限公司 服务器的封包过滤方法及基板管理控制器
CN108183925A (zh) * 2018-03-14 2018-06-19 成都科木信息技术有限公司 基于LoT的窄带通信方法
CN108495292A (zh) * 2018-03-14 2018-09-04 成都科木信息技术有限公司 智能家居短距离设备通信方法
CN110943984A (zh) * 2019-11-25 2020-03-31 中国联合网络通信集团有限公司 一种资产安全保护方法及装置
CN113872949A (zh) * 2021-09-18 2021-12-31 山东云海国创云计算装备产业创新中心有限公司 一种地址解析协议的应答方法及相关装置

Families Citing this family (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR102413344B1 (ko) * 2015-07-07 2022-06-27 주식회사 넥슨코리아 단말의 접속을 관리하는 장치 및 방법
CN112333146B (zh) * 2020-09-21 2023-04-18 南方电网海南数字电网研究院有限公司 变电智能网关arp安全防御方法及变电智能网关

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20050198242A1 (en) * 2004-01-05 2005-09-08 Viascope Int. System and method for detection/interception of IP collision
KR20050097170A (ko) * 2004-03-31 2005-10-07 이화여자대학교 산학협력단 근원지 아이피 주소 변조 패킷의 탐지 및 패킷 근원지지적 방법
KR100642716B1 (ko) * 2005-08-22 2006-11-10 이채현 에이알피 패킷을 이용한 웜 탐지 방법 및 그 장치
US7154874B2 (en) * 2003-12-08 2006-12-26 Airtight Networks, Inc. Method and system for monitoring a selected region of an airspace associated with local area networks of computing devices
US20080107065A1 (en) * 2006-11-08 2008-05-08 Nortel Networks Limited Address spoofing prevention

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7154874B2 (en) * 2003-12-08 2006-12-26 Airtight Networks, Inc. Method and system for monitoring a selected region of an airspace associated with local area networks of computing devices
US20050198242A1 (en) * 2004-01-05 2005-09-08 Viascope Int. System and method for detection/interception of IP collision
KR20050097170A (ko) * 2004-03-31 2005-10-07 이화여자대학교 산학협력단 근원지 아이피 주소 변조 패킷의 탐지 및 패킷 근원지지적 방법
KR100642716B1 (ko) * 2005-08-22 2006-11-10 이채현 에이알피 패킷을 이용한 웜 탐지 방법 및 그 장치
US20080107065A1 (en) * 2006-11-08 2008-05-08 Nortel Networks Limited Address spoofing prevention

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
C. N. ET AL.: '(-) 'Learning-based System for Detecting Abnormal Traffic and Host Control'' IJCSNS, [Online] vol. 6, no. 7, July 2006, pages 196 - 201 Retrieved from the Internet: <URL:http://paper.ijcsns.org/07_book0000607/200607C11.pdf> *

Cited By (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101888329A (zh) * 2010-04-28 2010-11-17 北京星网锐捷网络技术有限公司 地址解析协议报文的处理方法、装置及接入设备
CN101888329B (zh) * 2010-04-28 2013-04-17 北京星网锐捷网络技术有限公司 地址解析协议报文的处理方法、装置及接入设备
CN107204889A (zh) * 2016-03-16 2017-09-26 佛山市顺德区顺达电脑厂有限公司 服务器的封包过滤方法及基板管理控制器
CN108183925A (zh) * 2018-03-14 2018-06-19 成都科木信息技术有限公司 基于LoT的窄带通信方法
CN108495292A (zh) * 2018-03-14 2018-09-04 成都科木信息技术有限公司 智能家居短距离设备通信方法
CN110943984A (zh) * 2019-11-25 2020-03-31 中国联合网络通信集团有限公司 一种资产安全保护方法及装置
CN113872949A (zh) * 2021-09-18 2021-12-31 山东云海国创云计算装备产业创新中心有限公司 一种地址解析协议的应答方法及相关装置
CN113872949B (zh) * 2021-09-18 2023-08-22 山东云海国创云计算装备产业创新中心有限公司 一种地址解析协议的应答方法及相关装置

Also Published As

Publication number Publication date
WO2010036054A3 (ko) 2010-06-24
KR20100034855A (ko) 2010-04-02
KR101001900B1 (ko) 2010-12-17

Similar Documents

Publication Publication Date Title
WO2010036054A2 (ko) Ａｒｐ 공격 감지 방법 및 이를 이용한 시스템
US8875233B2 (en) Isolation VLAN for layer two access networks
JP4174392B2 (ja) ネットワークへの不正接続防止システム、及びネットワークへの不正接続防止装置
US7167922B2 (en) Method and apparatus for providing automatic ingress filtering
US7480933B2 (en) Method and apparatus for ensuring address information of a wireless terminal device in communications network
US8209529B2 (en) Authentication system, network line concentrator, authentication method and authentication program
US9603021B2 (en) Rogue access point detection
WO2012153913A1 (ko) 차단서버를 이용한 스푸핑 공격 방어방법
Jamal et al. Denial of service attack in wireless LAN
WO2021182667A1 (ko) 무선 침입 방지 시스템, 이를 포함하는 무선 네트워크 시스템 및 무선 네트워크 시스템의 작동 방법
WO2019146956A1 (ko) 디바이스의 정보 획득 장치 및 방법
WO2010072096A1 (zh) IPv6环境下提高邻居发现安全性的方法及宽带接入设备
US20030149891A1 (en) Method and device for providing network security by causing collisions
KR101064382B1 (ko) 통신 네트워크에서의 ａｒｐ 공격 차단 시스템 및 방법
CN102438028A (zh) 一种防止dhcp服务器欺骗的方法、装置及系统
JPWO2015174100A1 (ja) パケット転送装置、パケット転送システム及びパケット転送方法
CN102137073A (zh) 一种防止仿冒ip地址进行攻击的方法和接入设备
CN111654485A (zh) 一种客户端的认证方法以及设备
CN102347903A (zh) 一种数据报文转发方法、装置及系统
WO2024029658A1 (ko) 네트워크에서의 접근 통제 시스템 및 그 방법
CN114710388B (zh) 一种校园网安全系统及网络监护系统
WO2013172587A1 (ko) 클라우드 센서 네트워크를 이용한 지능형 무선침입방지 시스템 및 센서
CN113132993B (zh) 应用在无线局域网中的数据窃取识别系统及其使用方法
JP2008048252A (ja) 通信装置の認証システム
KR100954348B1 (ko) 패킷 감시 시스템 및 그 방법

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09816447

Country of ref document: EP

Kind code of ref document: A2

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 09816447

Country of ref document: EP

Kind code of ref document: A2