CN1855929A - 一种针对arp泛滥攻击的防范方法 - Google Patents

Abstract

本发明提供了一种针对ARP泛滥攻击的防范方法，该方法根据接收到的地址解析协议请求报文或地址解析协议应答报文中的IP地址，由运行地址解析协议的设备构造新的地址解析协议请求报文，再次发送该地址解析协议请求报文，以主动确认地址映射关系的正确性；运行地址解析协议的设备设置发送计数器，利用发送抑制功能避免重复发送大量的地址解析协议请求报文，通过发送计数器对存在地址映射关系或临时地址映射的IP地址的地址解析协议请求报文进行计数，以实现发送抑制功能。本发明方法能保证地址映射关系的正确性，从而防止地址解析协议伪冒或泛滥攻击所造成的广播网络转发故障，使数据在物理网络层面的转发正常进行。

Description

一种针对ARP泛滥攻击的防范方法

技术领域

本发明涉及数据通信网络安全问题，特别涉及一种针对ARP(Address Resolution Protocol地址解析协议，ARP为IP地址到对应的硬件地址之间提供映射，完成32bit的IP地址和数据链路层使用的任何类型的地址之间的转换工作)泛滥攻击的防范方法。

背景技术

IP协议是目前应用最为广泛的数据通信网络层协议标准。IP协议使用32bit的IP地址来唯一标识设备，数据报文在网络层之上的传播都是基于IP地址来完成寻址的。但IP地址仅仅对网络层有效，承载IP网络的硬件设备并不依赖于IP地址来进行寻址。比如，以太网物理设备是使用唯一的48bit以太网地址来识别硬件接口，设备驱动程序从不检查IP数据报中的目的IP地址。在广播网络上，这两种地址形式之间的映射是由地址解析协议完成的。该映射过程是自动完成的，一般应用程序用户或系统管理员不必关心。

在实现地址解析协议的系统中，地址解析协议会动态生成并在一段时间内保留IP地址和硬件地址之间的映射关系，在需要使用硬件地址的时候，系统会以IP地址为唯一标识查找映射关系，所找到的映射关系中的硬件地址就是在物理网络上转发报文所需要的硬件可识别的地址。此种映射关系的生成，依赖于地址解析协议的两种协议报文，地址解析协议请求和地址解析协议应答。

当运行地址解析协议的系统没有能够找到所需要的IP地址和硬件地址的映射关系时，该系统就会发送地址解析协议请求报文，请求所需要的IP地址的硬件地址。发出请求的系统会将自己的IP地址和硬件地址对应关系包含在这个报文中，并指明需要请求硬件地址的IP地址信息。此报文在网络中以广播方式发送。根据通常的实现，任何一个接收到这个地址解析协议请求并运行地址解析协议的系统，都应该使用这个请求报文中所包含的请求发送者的IP地址和硬件地址信息生成映射关系，如果已经存在以这个IP地址为标识的映射关系，则应该使用此报文中的硬件地址更新这个映射关系。

当某个运行地址解析协议的系统发现接收到的地址解析协议请求报文中所指名的需要请求硬件地址的IP地址是自己的IP地址时，则会向请求者发送地址解析协议应答报文。将自己的硬件地址通知请求者，这个报文是单播方式发送的，当请求者接收到这个应答报文之后，就可以根据这个应答报文中包含的信息生成对应IP地址和硬件地址之间的映射关系。

地址解析协议正常运行的关键，是保证IP地址和硬件地址的映射关系的正确性。运行地址解析协议的系统并不能主动发现映射关系的错误，如果生成了错误的映射关系，报文的发送者将会根据错误的硬件地址发送报文，接收者无法收到报文，从而导致数据转发的中断，更为严重的是，由于报文的发送者认为自己已经有了报文接收者的硬件地址，因此就不会发送地址解析协议的请求报文来更新这个映射关系，这种错误的映射就会在一定时间内一直保持，直到涉及报文发送的双方发送了地址解析协议报文才有可能的倒纠正，这会严重影响数据网络的使用。

针对地址解析协议的这个弱点，恶意的攻击者可以通过伪造地址解析协议请求报文的方法来实现对运行地址解析协议的网络的攻击。攻击的方法如下：

1、恶意攻击者发送目的网络地址为广播地址的地址解析协议请求报文，报文内请求者的源地址为攻击者伪造的受害者的IP地址，声明的硬件地址为错误的地址；

2、由于地址解析协议请求报文的目的地址为广播地址，因此该广播网络上任意的主机都应该接收这个报文。根据地址解析协议的通常实现，接收到这个请求报文的主机会将受害者的IP地址通这个错误的硬件地址关联起来形成映射关系；

如此，由于报文发送者所发送报文的硬件地址并不是受害者真实的硬件地址，受害者无法正常接收报文，即可达到阻断到受害者的报文转发的目的。此种攻击我们称之为地址解析协议伪冒攻击。通常广播网络内作为网关的设备的地址解析协议映射关系的数量是有限的，如果攻击者大量发送分别伪冒不同源IP地址的地址解析报文请求报文，就可以使整个广播网络的数据转发出现故障，此时攻击也可以被称为地址解析协议泛滥攻击。

针对地址解析协议伪冒/泛滥攻击目前主要的保护方法为静态配置地址解析协议映射关系。如前文所说，地址解析协议映射关系是动态生成的，也正因为是动态生成的，给恶意的攻击者造成了伪冒其他用户发送报文，阻断数据报文转发的机会。而静态配置地址解析协议是指由用户配置生成IP地址和硬件地址的映射关系报文，而且这个映射关系是不随着时间而变更的。因为其优先级高于通过地址解析协议产生的动态的映射关系，因此也不会随着地址解析协议报文中所携带的信息进行变更。静态配置地址解析协议映射关系虽然可以有效地解决地址解析协议伪冒/泛滥攻击造成的数据报文转发被阻断的问题，但是，静态配置地址解析协议映射关系必须要人工生成并维护大量的IP地址和硬件地址的映射关系，完全废弃了地址解析协议所带来的益处，实际上仅仅是模拟了地址解析协议生成的最终结果，而摒弃了地址解析协议本身。该方法有很多问题：

1、对于大规模的广播网络来说，由于要维护的数据量巨大，要管理员维护正确的IP地址和硬件地址映射关系几乎是不可操作的。

2、根据通常的实现，使用地址解析协议的设备上允许配置的静态地址解析协议映射关系的数量会小于通过地址解析协议自动学习到的地址映射关系的数量，在规模比较大的广播网络，有可能静态地址映射关系无法覆盖全部的设备地址，造成未被覆盖部分的地址还是无法避免受到恶意地址解析协议伪冒攻击的危害，对于大规模的广播网络是不可实施的。

3、目前，越来越多的设备采取双机热备份的高可用性实现方法，对于这种实现，主设备和备份设备会使用相同的IP地址，主设备正常的时候备份设备不工作，仅仅监听主设备的状态，一旦主设备发生问题，备份设备会通过发送地址解析协议请求报文来更新广播网络中其他设备上保存的IP地址和硬件地址之间的映射关系，如果其他设备采取的是静态配置地址解析协议映射关系的方法，那么这种动态的地址映射关系的更新就无法完成，主设备和备用设备的切换也就无法正常使用。

发明内容

本发明的目的在于，提供一种针对ARP泛滥攻击的防范方法，从而防止地址解析协议伪冒或泛滥攻击所造成的广播网络转发故障。

为达到上述目的，本发明的一种针对ARP泛滥攻击的防范方法，根据接收到的地址解析协议请求报文或地址解析协议应答报文中的IP地址，由运行地址解析协议的设备构造新的地址解析协议请求报文，再次发送该地址解析协议请求报文，以主动确认该地址映射关系的正确性，所述方法包括下列步骤：

1)运行地址解析协议的设备接收地址解析协议请求报文；

2)根据该请求报文中所携带的请求者的IP地址再次构造地址解析协议请求报文；

3)向广播网络内发送，请求原有请求报文中请求者的硬件地址；

4)如果收到了对这个请求的地址解析协议应答报文，则建立地址映射关系；

5)如果在一定时间之内没有收到对这个请求的地址解析协议应答报文，则认为原来收到的地址解析协议请求报文为错误的或伪冒的报文。

步骤3)进一步包括在运行地址解析协议的设备中设置发送计数器，利用发送计数器对发送的请求报文进行计数的步骤。

发送计数器具有规定的发送上限阈值，如果在一定时间内发送的对特定IP地址的地址解析协议请求报文的数量达到了发送上限阈值，则在一定时间周期内不再发送针对这个特定IP地址的地址解析协议请求报文。

本发明的优点在于，该方法可以有效防范针对地址解析协议进行的伪冒或泛滥攻击，通过实施本发明可以维护地址解析协议映射关系的正确性，通过主动学习地址解析协议映射关系保证了地址映射关系不被伪冒的地址解析协议请求所改变，从而保证广播网络的正常运行。

附图说明

图1为本发明的地址解析协议请求报文的处理流程图；

图2为本发明的地址解析协议应答报文的处理流程图。

具体实施方式

如图1和图2所示，运行地址解析协议的设备在收到源地址为特定IP地址的设备发送的地址解析协议请求报文或应答报文之后，首先查询本地是否存在针对此特定IP地址的临时地址映射关系。

针对任意一个特定的IP地址和硬件地址的映射关系，存在如下状态：

T0，当地址映射关系处于T0状态时，表示不存在针对此特定IP地址的地址映射关系。

T1，当地址映射关系处于T1状态时，表示存在针对特定IP地址的临时地址映射关系，这种临时性表现为该地址映射关系有效时间非常短，这个映射关系中说明的硬件地址不能视为特定IP地址在物理网络上转发报文所需的硬件地址，也就是说，如果在报文转发过程所进行的地址映射阶段中，运行地址解析协议的设备查找到的映射关系处于T1状态，则同运行地址解析协议的设备查找到的映射关系处于T0状态情况下采用相同的处理。

T2，当地址映射关系处于T2状态时，表示存在针对特定IP地址的有效地址映射关系，这种有效性表现在该地址映射关系有效时间远远长于处于T1状态的地址映射关系，该映射关系中的硬件地址被认为是特定的IP地址在物理网络中转发所需要的硬件地址。

上述状态之间的转换由如下事件驱动：

E0，运行地址解析协议的设备收到源地址为特定IP地址的设备发送的地址解析协议请求报文；

E1，运行地址解析协议的设备收到源地址为特定IP地址的设备发送的地址解析协议应答报文；

E2，运行地址解析协议的设备发送地址解析协议请求报文，请求特定IP地址的地址映射关系。

表1为不具备本发明的地址解析协议常规实现的状态转换表：

注：表格中状态为同行初始状态遇到同列事件之后的状态，NA表示无此状态。

表2为具备本发明之后的地址解析协议实现的状态转换表：

T2

T2(E2)

T2

NA

注：表格中状态为同行初始状态遇到同列事件之后的状态，NA表示无此状态，()中的事件表示状态转换的同时，运行地址解析协议的设备主动进行的动作。

(1)运行地址解析协议的设备处于T0状态，接收到特定IP地址设备发送的地址解析协议请求报文。

(1.1)运行地址解析协议的设备创建针对这个特定IP地址的临时地址映射关系；

(1.2)运行地址解析协议的设备构造针对这个特定IP地址的地址解析协议请求报文，并将这个报文在广播网络内发送出去，主动请求特定IP地址的硬件地址；

(1.3)为了避免恶意攻击者通过大量发送地址解析协议请求报文，造成实现了本方案的设备重复发送大量的地址解析协议请求报文，实现本方案的设备对存在地址映射关系或临时地址映射的IP地址进行地址解析协议请求报文的计数，在一定时间内仅发送一定数量的对特定IP地址的地址解析协议请求报文，如果发送计数器到达了规定的发送上限阈值，则在一定时间周期内不再发送针对这个特定IP地址的地址解析协议请求报文；此功能称为发送抑制；

(1.4)运行地址解析协议的设备上针对特定IP地址的状态转换为T1。

(2)运行地址解析协议的设备处于T0状态，接收到特定IP地址设备发送的地址解析协议应答报文。

此状态下，运行地址解析协议的设备处理流程和第(1)小结描述的处理过程完全一致。

(3)运行地址解析协议的设备处于T0状态，发送针对特定IP地址设备的地址解析协议请求报文。

(3.1)运行地址解析协议的设备创建针对这个特定IP地址的临时地址映射关系；

(3.2)为了避免恶意攻击者通过大量发送地址解析协议请求报文，造成实现了本方案的设备重复发送大量的地址解析协议请求报文，实现本方案的设备对存在地址映射关系或临时地址映射关系的IP地址进行地址解析协议请求报文的计数，在一定时间内仅发送一定数量的对特定IP地址的地址解析协议请求报文，如果发送计数器到达了规定的发送上限阈值，则在一定时间周期内不再发送针对这个特定IP地址的地址解析协议请求报文。此功能称为发送抑制。

由于运行地址解析协议的设备主动发送了针对特定IP地址设备的地址解析协议请求报文，因此，在本小结描述的状态下，不用再次发送地址解析协议请求报文。

(3.3)运行地址解析协议的设备上针对特定IP地址的状态转换为T1。

(4)运行地址解析协议的设备处于T1状态，接收到特定IP地址设备发送的地址解析协议请求报文。

(4.1)运行地址解析协议的设备检查针对这个特定IP地址的地址映射关系的地址解析协议请求报文的合法性，如果该请求报文合法，则向请求报文的源IP地址和源硬件地址发送地址解析协议的应答报文。

(4.2)运行地址解析协议的设备上针对特定IP地址的状态改变为T2。

(5)运行地址解析协议的设备处于T1状态，接收到特定IP地址设备发送的地址解析协议应答报文。

(5.1)运行地址解析协议的设备状态转换为T2状态，特定IP地址和硬件地址之间的地址映射关系建立。

(6)运行地址解析协议的设备处于T1状态，发送特定IP地址设备发送的地址解析协议请求报文。

此状态下，运行地址解析协议的设备处理流程和第(4)小结描述的处理过程完全一致。

(7)运行地址解析协议的设备处于T2状态，接收到特定IP地址设备发送的地址解析协议请求报文

(7.1)运行地址解析协议的设备检查针对这个特定IP地址的地址映射关系的地址解析协议请求报文计数器，如果没有到达允许发送的上限阈值，构造针对这个特定IP地址的地址解析协议请求报文，并将这个报文在广播网络内发送出去，主动请求特定IP地址的硬件地址(E2)，如果到达发送的上限阈值，不再构造并发送该请求报文。

(7.2)运行地址解析协议的设备上针对特定IP地址的状态保持为T2。

(8)运行地址解析协议的设备处于T2状态，接收到特定IP地址设备发送的地址解析协议应答报文。

(8.1)运行地址解析协议的设备上针对特定IP地址的地址映射关系根据该地址解系协议应答报文中的内容被更新，状态保持T2不变。

Claims (4)

1、一种针对ARP泛滥攻击的防范方法，其特征在于，根据接收到的地址解析协议请求报文或地址解析协议应答报文中的IP地址，由运行地址解析协议的设备构造新的地址解析协议请求报文，再次发送该地址解析协议请求报文，以主动确认该地址映射关系的正确性。

2、根据权利要求1所述的针对ARP泛滥攻击的防范方法，其特征在于所述方法包括下列步骤：

1)运行地址解析协议的设备接收到特定IP地址设备发送的地址解析协议请求报文；

2)运行地址解析协议的设备根据该特定IP地址再次构造新的地址解析协议请求报文；

3)向广播网络内发送，主动请求原有请求报文中请求者的硬件地址；

4)如果收到了针对这个请求的地址解析协议应答报文，则建立特定IP地址设备的地址映射关系；

5)如果没有收到针对这个请求的地址解析协议应答报文，则认为原来收到的地址解析协议请求报文为错误的或伪冒的报文。

3、根据权利要求2所述的针对ARP泛滥攻击的防范方法，其特征在于：步骤3)进一步包括在运行地址解析协议的设备中设置发送计数器，利用发送计数器对发送的请求报文进行计数的步骤。

4、根据权利要求3所述的针对ARP泛滥攻击的防范方法，其特征在于：发送计数器具有规定的发送上限阈值，如果在一定时间内发送的对特定IP地址的地址解析协议请求报文的数量达到了发送上限阈值，则在一定时间周期内不再发送针对这个特定IP地址的地址解析协议请求报文。