[发明专利]内网环境中基于IP地址自动定位攻击源物理位置的方法

权利要求书

1.内网环境中基于IP地址自动定位攻击源物理位置的方法，其特征在于：包括以下步骤：

S1、ARP表项定时获取组件生成ARP信息表，并发送至IP物理位置信息处理组件；

S2、IP物理位置信息处理组件根据ARP信息表、交换机位置登记表生成IP物理位置信息表；

S3、攻击源物理位置关联组件基于攻击时间和攻击源IP，并关联IP物理位置信息表、攻击事件记录表生成攻击源物理定位表。

2.根据权利要求1所述的内网环境中基于IP地址自动定位攻击源物理位置的方法，其特征在于：S1中ARP表项定时获取组件生成ARP信息表，包括：

ARP表项定时获取组件间隔向所有接入交换机发送ARP表项获取请求；

接入交换机响应ARP表项获取请求，并返回响应数据至ARP表项定时获取组件；

ARP表项定时获取组件将对应获取时间和交换机标识插入响应数据，并汇总本次请求的响应数据形成ARP信息表。

3.根据权利要求1所述的内网环境中基于IP地址自动定位攻击源物理位置的方法，其特征在于：S2中IP物理位置信息处理组件根据ARP信息表、交换机位置登记表生成IP物理位置信息表，包括：

S2.1、IP物理位置信息处理组件接收到ARP信息表后，对缓存ARP信息表进行判断；

S2.2、若缓存ARP信息表存在，则对比两次ARP信息表条目；

S2.3、若缓存ARP信息表不存在，则在交换机位置登记表中查询，并基于查询结果生成IP物理位置信息表；

S2.4、将本次ARP信息表替换缓存ARP信息表，完成缓存更新。

4.根据权利要求3所述的内网环境中基于IP地址自动定位攻击源物理位置的方法，其特征在于：S2.2中若缓存ARP信息表存在，则对比两次ARP信息表条目，包括：

S2.2.1、使用缓存ARP信息表中的条目与本次ARP信息表进行匹配，匹配上则提取相同条目的获取时间；

S2.2.2、将提取的获取时间作为参数，封装进更新结束时间指令；

S2.2.3、IP物理位置信息表中查询和匹配条件完全相同且状态为持续中的条目，通过更新结束时间指令，将条目中的结束时间更新为本次ARP信息表条目中的获取时间。

5.根据权利要求4所述的内网环境中基于IP地址自动定位攻击源物理位置的方法，其特征在于：S2.2中若缓存ARP信息表存在，则对比两次ARP信息表条目，包括：

S2.2.4、使用缓存ARP信息表中的条目与本次ARP信息表进行匹配，未匹配时封装更新状态指令；

S2.2.5、IP物理位置信息表中查询和匹配条件完全相同且状态为持续中的条目，通过更新状态指令，将条目中的状态从持续中更新为已结束。

6.根据权利要求5所述的内网环境中基于IP地址自动定位攻击源物理位置的方法，其特征在于：S2.2中若缓存ARP信息表存在，则对比两次ARP信息表条目，包括：

S2.2.6、使用本次ARP信息表中的条目与缓存ARP信息表进行匹配，未匹配时则提取交换机标识和交换机接口标识；

S2.2.7、将交换机标识和交换机接口标识作为查询条件，在交换机位置登记表中查询，提取查询结果；

S2.2.8、关联ARP信息表中对应条目和查询结果，以获取时间作为开始时间和结束时间，状态默认持续中，生成新的IP物理位置信息表条目；

S2.2.9、将新的IP物理位置信息表条目封装进插入新条目指令，并在IP物理位置信息表末端插入。