[发明专利]ARP欺骗攻击检测方法、装置、计算机设备和存储介质

说明书

本申请涉及一种ARP欺骗检测方法、装置、计算机设备和存储介质。方法包括：获取待分析局域网中各主机的镜像流量；从所述镜像流量中提取ARP回复报文；根据所述ARP回复报文携带的MAC地址和IP地址，通过构建MAC地址和IP地址的映射表，对所述ARP回复报文进行初步检测；当所述初步检测的结果存在异常时，根据所述ARP回复报文信息，生成与主机对应的目标特征向量；基于预设的基准参考库，对所述目标特征向量进行二次检测，确定是否存在ARP欺骗攻击。采用本方法能够精准的捕获ARP欺骗攻击，达到了局域网内各主机的ARP欺骗检测，实现了精准全面的ARP欺骗检测。

技术领域

本申请涉及电力监控技术领域，特别是涉及一种ARP欺骗攻击检测方法、装置、计算机设备和存储介质。

背景技术

在电力监控的工业控制系统中，局域网内各主机之间(或者是主机与网关间)需要通信时，会使用ARP(Address Resolution Protocol，ARP)协议获取目标IP地址对应的MAC地址，然而在通信的过程中会出现ARP spoof(ARP欺骗)攻击，ARP spoof攻击通过在局域网中向目标主机发送恶意的ARP reply(ARP回复)报文，造成ARP目标的ARP缓存表项被恶意替换，在工业控制系统的局域网中，ARP spoof攻击会造成工业控制系统设备间的通信异常，导致工业控制系统无法正常工作，发生严重的电力故障，为了解决此类问题，出现了ARPspoof检测技术。

现有的ARP spoof攻击检测方法及检测工具，通过读取本地主机ARP缓存表，得知当前局域网内IP(Internet Protocol Address，互联网协议)和MAC(Media AccessControl或者Medium Access Control，媒体访问控制)地址映射情况，并采用监听本地主机网卡流量，抓取ARP reply报文，一旦发现企图修改ARP缓存表的ARP reply报文，就判断发生了ARP spoof攻击，并形成告警。

然而，目前的检测方法和检测工具只能发现本地主机被ARP spoof攻击情况，无法发现局域网内其它主机间ARP spoof行为，检测方法和检测工具通常仅把ARP缓存表是否被修改作为唯一判断逻辑，缺少基准参考，误判多，并且，分析流量小，不支持一个系统对多个局域网进行检测和监视，无法统一分析监视，存在检测局限性的问题。

发明内容

基于此，有必要针对上述技术问题，提供一种能够精准全面的ARP欺骗检测方法、装置、计算机设备和存储介质。

一种ARP欺骗攻击检测方法，所述方法包括：

获取待分析局域网中各主机的镜像流量，像流量中提取ARP回复报文；

根据ARP回复报文携带的MAC地址和IP地址，通过构建MAC地址和IP地址的映射表，对ARP回复报文进行初步检测；

当初步检测的结果存在异常时，根据ARP回复报文信息，生成与主机对应的目标特征向量；

基于预设的基准参考库，对目标特征向量进行二次检测，确定是否存在ARP欺骗攻击。

在其中一个实施例中，基于预设的基准参考库，对目标特征向量进行二次检测，确定是否存在ARP欺骗攻击之前，还包括：

获取主机对应的历史网络流量数据；

根据历史网络流量数据进行数据建模，得到主机对应的特征向量；

对特征向量进行标准化处理，得到标准化特征向量；

对标准化特征向量进行聚类，根据聚类结果，构建基准参考库。

在其中一个实施例中，根据历史网络流量数据进行数据建模，得到主机对应的特征向量包括：

基于预设时间间隔，从历史网络流量数据中获取主机对应的属性信息；