[发明专利]ARP欺骗攻击检测方法、装置、计算机设备和存储介质

权利要求书

1.一种ARP欺骗攻击检测方法，其特征在于，所述方法包括：

获取待分析局域网中各主机的镜像流量，所述镜像流量中提取ARP回复报文；

根据所述ARP回复报文携带的MAC地址和IP地址，通过构建MAC地址和IP地址的映射表，对所述ARP回复报文进行初步检测；

当所述初步检测的结果存在异常时，根据所述ARP回复报文，生成与主机对应的目标特征向量；

基于预设的基准参考库，对所述目标特征向量进行二次检测，确定是否存在ARP欺骗攻击。

2.根据权利要求1所述的方法，其特征在于，所述基于预设的基准参考库，对所述目标特征向量进行二次检测，确定是否存在ARP欺骗攻击之前，还包括：

获取主机对应的历史网络流量数据；

根据所述历史网络流量数据进行数据建模，得到所述对应的特征向量；

对所述特征向量进行标准化处理，得到标准化特征向量；

对所述标准化特征向量进行聚类，根据聚类结果，构建基准参考库。

3.根据权利要求2所述的方法，其特征在于，所述根据所述历史网络流量数据进行数据建模，得到所述对应的特征向量包括：

基于预设时间间隔，从所述历史网络流量数据中获取主机对应的属性信息；

根据所述属性信息，生成与所述主机对应的特征向量。

4.根据权利要求2所述的方法，其特征在于，所述对所述标准化特征向量进行聚类，根据聚类结果，构建基准参考库包括：

对所述标准化特征向量进行聚类处理，得到聚类结果，所述聚类结果包括异常类和正常类；

当所述聚类结果不符合预设的聚类要求时，丢弃所述异常类对应的标准化特征向量，重新进行聚类处理，直至得到的聚类结果符合预设的聚类要求，其中，所述预设的聚类要求包括异常类和正常类的数量差值满足预设差值要求或异常类和正常类的类内距离与类间距离的比值大于预设定值。

5.根据权利要求1所述的方法，其特征在于，所述根据所述ARP回复报文携带的MAC地址和IP地址，通过构建MAC地址和IP地址的映射表，对所述ARP回复报文进行初步检测包括：

根据待检测的ARP回复报文构成的报文序列，构建映射表，所述映射表中包括所述报文序列中第一个报文携带的MAC地址和IP地址；

当所述报文序列中的待检测报文携带的MAC地址存在于所述映射表时，从所述映射表中提取所述MAC地址的映射IP地址；

当所述映射IP地址与所述待检测报文携带的IP地址不一致时，判定所述ARP回复报文的初步检测结果存在异常。

6.根据权利要求5所述的方法，其特征在于，所述根据待检测的ARP回复报文构成的报文序列，构建映射表之后，还包括：

当所述报文序列中的待检测报文携带的MAC地址未存在于所述映射表时，将所述待处理报文携带的MAC地址和IP地址更新至所述映射表。

7.根据权利要求4所述的方法，其特征在于，所述基于预设的基准参考库，对所述目标特征向量进行二次检测，确定是否存在ARP欺骗攻击包括：

获取预设的基准参考库中正常类的中心点；

计算所述目标特征向量与所述中心点的距离；

当所述距离小于所述正常类的类内距离时，判定不存在ARP欺骗攻击；

当所述距离不小于所述正常类的类内距离时，判定存在ARP欺骗攻击。

8.一种ARP欺骗攻击检测装置，其特征在于，所述装置包括：

数据获取模块，用于获取待分析局域网中各主机的镜像流量；

数据提取模块，用于从所述镜像流量中提取ARP回复报文；

初步检测模块，用于根据所述ARP回复报文携带的MAC地址和IP地址，通过构建MAC地址和IP地址的映射表，对所述ARP回复报文进行初步检测；

向量生成模块，用于当所述初步检测的结果存在异常时，根据所述ARP回复报文信息，生成与主机对应的目标特征向量；

二次检测模块，用于基于预设的基准参考库，对所述目标特征向量进行二次检测，确定是否存在ARP欺骗攻击。