[发明专利]一种防御Arp病毒攻击的方法

说明书

技术领域

本发明涉及一种网络安全防护技术，尤其涉及一种防御Arp病毒攻击的方法。

背景技术

Arp病毒是现在计算机网络中出现的一种木马病毒，它利用网络传输协议的漏洞，攻击二层网络设备和二层网络上的网关设备，导致计算机网络无法正常通信。

通常人们在应用层上采用一些简单办法，往往只能够解决一时问题，随着病毒的进一步发展，简单方法又会失效，所以计算机网络中，ARP病毒攻击网络的情况呈现周期性地爆发；有些防ARP攻击的软件虽然做得好，解决了安装这种软件电脑的问题；但对一些运营大型网络的公司来说，其用户数量众多，情况复杂，很难动员安装统一的防ARP攻击软件，使得网络经常发生难以克服的ARP病毒攻击，人们时常需要通过到现场逐一断开网络分支线，查找病毒攻击源头，大大增加了网络维护人员的劳动强度，并且ARP病毒攻击网络的地点和时间都是随机出现的，单靠上述软件的防御办法是无法解决运营网络的安全保护问题的。

发明内容

本发明公开了一种防御Arp病毒攻击的方法，包括：管理服务器为每个客户端绑定一个独立的网关IP，采用客户端软件对用户接收或发送的Arp数据包进行过滤，采用控制网关拦截未安装客户端软件的新用户并将该用户引导到提示用户安装防御Arp病毒攻击客户端软件的web页，采用管理服务器对所有用户信息进行实时统计并将客户端Mac地址列表的更新信息实时发送给控制网关。

所述的管理服务器为每个客户端绑定一个独立的网关IP，包括：客户端软件把本地信息传递给管理服务器，管理服务器为该客户端分配一个独立的网关IP，管理服务器把该客户端的IP和Mac对应关系通知对应的控制网关，并实施绑定，保护用户Arp列表不被欺骗。

所述客户端软件包括：Mac(MediaAccess Control，介质访问控制)地址列表和规则表，Mac地址列表中存储有客户端IP、Mac信息和网络邻居IP、Mac信息，规则表中存储有网关Mac地址、IP地址，用户登录时客户端软件自动检测是否有网关Mac地址列表的更新信息并对网关Mac地址列表进行自动探测。

采用客户端软件对用户接收或发送的Arp数据包进行过滤，包括：

对于接收Arp数据包的情况：客户端软件对源地址为网关IP的Arp数据包，将其源地址与网关Mac地址列表进行比对，如果IP和Mac地址与网关Mac地址列表中的相应信息完全一样，则将该Arp数据包交由上层程序处理；如果不一样则丢弃该Arp数据包；对于网络邻居发送的Arp数据包，检测该网络邻居是否允许互访，允许则接收该Arp数据包，不允许则丢弃该Arp数据包；

对于发送Arp数据包的情况：客户端软件检测该Arp数据包的IP、Mac在规则表中是否存在，存在则发送该Arp数据包并对发送数量实施流量控制，否则丢弃该Arp数据包；所述规则表包括：该Arp数据包发送的源Mac地址是否为本地Mac地址、目的Mac地址是否为网关Mac地址列表中的网关地址。

采用令牌桶算法实施对发送数量的流量控制。

采用控制网关拦截未安装客户端软件的新用户并将该用户引导到提示用户安装防御Arp病毒攻击客户端软件的web页，以此提示用户安装防御Arp病毒攻击客户端软件。

采用管理服务器对所有用户信息进行实时统计，其统计的用户信息包括：用户的登录帐号、操作系统版本、IP地址、Mac地址、攻击次数、被攻击次数。

管理服务器将客户端Mac地址列表的更新信息实时发送给控制网关，包括：用户安装防御Arp病毒攻击客户端软件后，防御Arp病毒攻击客户端软件自动将该用户的IP、Mac、所在的网段、操作系统版本号、网关信息上报给管理服务器，管理服务器将其作为网关Mac地址列表的更新信息发送给控制网关并指示控制网关放行该用户的数据包。

本发明的有益技术效果是：在用户端驱动层实施Arp病毒包拦截，客户端与管理服务器联动，迫使网络中每个用户必须安装Arp防御客户端，使防御系统规范化，避免被攻击，并能及时发现攻击源，无需投入大量资金升级、改造二层网络。

附图说明

图1，采用本发明的一种网络结构拓扑图；

图中：客户端1、二层交换机2、CMTS 3、管理服务器4、控制网关5、三层交换机6。

具体实施方式

参见附图1，拓扑图由六部分组成：客户端1、二层交换机2、CMTS 3(Cable ModemTermination Systems，电缆调制解调器)、管理服务器4、控制网关5、三层交换机6。