[发明专利]应用于移动终端的ARP攻击感知的方法及装置

说明书

本发明公开了一种应用于移动终端的ARP报文感知方法及装置，移动终端接入网后抓取收到的数据包；若该数据包为ARP数据包，则提取ARP数据包的发送源IP地址和发送源MAC地址；若发送源IP地址为网关IP地址，则保存该发送源MAC地址作为疑似攻击者MAC地址；当疑似攻击者MAC地址存在不同时，则判断存在ARP报文攻击。由于移动终端设备仅接收数据包，无需转发数据包，抓包流程在接收数据包的旁路进行，这样可以在不影响移动终端正常运作的情况下进行ARP攻击感知，能够快速感知到ARP报文攻击，以较小的代价得到较高的准确率。

技术领域

本发明涉及信息安全技术领域，尤其涉及一种应用于移动终端的ARP攻击感知的方法及装置。

背景技术

ARP协议(Address Resolution Protocol,地址解析协议)，是一个在IPv4协议族中的网络层协议，其基本功能为通过目标设备的IP地址查询到目标设备的MAC地址。出于历史原因，ARP协议在制定之初考虑并不完善，缺少必须的验证机制，导致ARP协议成为了所谓的“君子协议”，网络上存在大量利用ARP协议弱点进行攻击的手段和工具，给网络环境造成了极大的威胁。

ARP报文攻击即是常见的攻击手段之一，攻击者利用ARP协议的设计漏洞，伪造ARP报文攻击目标终端(表1示出ARP报文结构)。结合图1所示，若机器A想要进行外网通信，则需要先将发送的数据包传递给网关B，通过它来转发到外网的目标地址。而数据包在链路层传输时需要使用网关B的Mac地址，机器A会根据自己ARP缓存表中记录的网关Mac地址来发送该数据包。由于ARP应答的处理方式缺少验证机制，终端在收到任何符合协议规范的ARP应答包时都会更新自己ARP缓存表中的IP-Mac地址对应关系。若此时，网络中存在攻击者C，则攻击者C会伪装自己为网关B，以一定频率给机器A发送源IP为网关B、源Mac地址为攻击者C的恶意ARP应答包，覆盖机器A中网关的真实Mac地址。此时，机器A会误认为攻击者C的Mac地址为目标网关B的Mac地址，从此机器A外发的数据包都会到达攻击者C，造成流量的误导。若攻击者C再配合中间人攻击手段冒充通信双方则可能进一步利用用户的隐私信息盗取其财物，造成严重的后果。

表1

虽然ARP报文攻击能造成严重的后果，但是在大众常接触到的WiFi环境中大多未部署ARP攻击感知机制。此外，即使现有设计中在交换机、路由器或网关等网络设备部署ARP攻击感知也存在诸多缺点。比如，由于网关设备的主要任务是转发数据包，在不影响其正常转发任务的情况下势必会降低ARP攻击感知逻辑的探测效率，感知速度慢。另外，即便网关发现了其局域网内存在ARP攻击也无法以较低的代价将该攻击事件反馈到被攻击终端处完成整个上报和处置的流程。

发明内容

本发明的目的在于提供一种应用于移动终端的ARP攻击感知方法及装置，能够快速感知到ARP报文攻击，以较小的代价得到较高的准确率，保护用户的隐私和财产安全。

本发明公开了一种应用于移动终端的ARP攻击感知方法，包括以下步骤：

移动终端接入网后抓取收到的数据包并判断其是否为ARP数据包；

若该数据包为ARP数据包，则提取ARP数据包的发送源IP地址和发送源MAC地址；若发送源IP地址为网关IP地址，则保存该发送源MAC地址作为疑似攻击者MAC地址；当保存的疑似攻击者MAC地址存在不同时，则判断存在ARP报文攻击。

进一步的，当保存的疑似攻击者MAC地址存在不同且至少有一个MAC地址对应的ARP数据包的频率超过阈值时，则判断存在ARP报文攻击。

进一步的，当判断存在ARP报文攻击后，移动终端向网络中其它设备发送广播信息以获取各设备的IP地址及MAC地址，若有设备的MAC地址与移动终端保存的任一疑似攻击者MAC地址一致，而该设备的IP地址不是网关IP，则判断该设备为攻击者。