[发明专利]ARP双向防御系统及方法

说明书

本发明公开了ARP双向防御系统及方法，涉及ARP防御技术领域。本发明包括：包含网关ARP包过滤模块的网关服务器以及若干设有主机ARP包过滤模块的主机；若干所述主机与所述网关服务器连接并主动获取网关服务器的网关MAC；所述网关服务器内还设置网关ARP缓存映射表；所述网关ARP缓存映射表内存储预设时间阈值内经网关服务器向所述主机发送的ARP请求包以及ARP应答包。本发明通过在网关服务器内设置网关ARP包过滤模块，先通过网关ARP包过滤模块检索欺骗记录表是否存在ARP报文内的IP地址以及MAC地址，用于表面监测恶意攻击源主机；然后通过网关ARP包过滤模块鉴别ARP报文中异常ARP报文并做异常标记，高效剔除进行欺骗性攻击的源主机，提高安全性。

技术领域

本发明属于ARP防御技术领域，特别是涉及一种ARP双向防御系统及方法。

背景技术

局域网中的ARP攻击问题一直难以得到根本解决，原因在于目前多种ARP防范措施都有各自的局限性。ARP个人防火墙不能保证获取的网关一定正确，而且无法防御对网关的攻击；VLAN和交换机端口绑定没有对网关的任何保护，不管如何细分VLAN，网关一旦被攻击，照样会造成全网上网的掉线和瘫痪，而且管理死板成本高；双绑措施防范能力有限，管理太麻烦。

本发明提供一种ARP双向防御系统及方法，致力于解决现有的ARP受攻击时防御能力差的问题。

发明内容

本发明的目的在于提供ARP双向防御系统及方法，通过在网关服务器内设置网关ARP包过滤模块，并通过网关ARP包过滤模块对比网关ARP缓存映射表过滤出异常ARP报文；同时主机内设置标记识别单元用于识别异常ARP报文并通过异常报文处理模块进行鉴别源主机是否是攻击欺骗主机，实现ARP系统的安全高效防御，解决了现有的ARP受攻击时防御能力差的问题。

为解决上述技术问题，本发明是通过以下技术方案实现的：

本发明为ARP双向防御系统，包括：包含网关ARP包过滤模块的网关服务器以及若干设有主机ARP包过滤模块的主机；若干所述主机与所述网关服务器连接并主动获取网关服务器的网关MAC；

所述网关服务器内还设置网关ARP缓存映射表；所述网关ARP缓存映射表内存储预设时间阈值内经网关服务器向所述主机发送的ARP请求包以及ARP应答包；

所述网关ARP包过滤模块统计网关ARP缓存映射表内来自同一IP地址的ARP报文的重复次数；所述网关ARP包过滤模块对比所述重复次数与重复阈值过滤异常ARP报文并为异常ARP报文作异常标记；

所述主机ARP包过滤模块内设置标记识别单元；所述标记识别单元用于过滤识别网关服务器转发的异常ARP报文；

所述主机内还包括异常报文处理模块；

若所述异常报文为ARP请求包，则所述异常报文处理模块从异常报文中获取源主机的IP地址以及MAC地址；所述异常报文处理模块根据源主机的IP地址以及MAC地址产生ARP请求包并经网关服务器转发至源主机；若网关服务器无法获得源主机的ARP应答包，则将源主机记录在欺骗记录表；

若所述异常报文为ARP应答包，则所述异常报文处理模块对比主机ARP缓存映射表是否有与源地址对应的IP地址以及MAC地址，若不存在，所述主机回传源地址的IP地址以及MAC地址至网关服务器，所述网关服务器将源主机记录在欺骗记录表。

优选地，所述欺骗记录表内存储源主机的IP地址和MAC地址；所述网关ARP包过滤模块接收ARP报文后，先检索欺骗记录表内是否存在ARP报文内的IP地址和MAC地址，若存在则不进行转发。

优选地，所述网关ARP缓存映射表内存储经所述网关处理器转发的主机的IP地址和MAC地址的转发记录，所述转发记录均带有时间戳，所述时间戳到达所述时间阈值后，自动清楚对应的转发记录。

ARP双向防御方法，包括如下过程：