汤-一种面向不可靠局域网的arp欺骗检测策略

1、 一种面向不可靠局域网的ARP欺骗检测策略成员： 汤冬冬 李思琦 孙婉婷高级计算机网络课程答辩课题背景整体设计详细介绍实验测试和分析总结与展望课题背景课题背景ARP简介课题背景国内外研究现状课题背景课题背景整体设计详细介绍实验仿真总结与展望整体设计整体设计ARP协议建立在信任局域网内主机的基础上，对ARP报文不作任何加密和认证，这是ARP欺骗产生的重要原因。为解决此问题，设计了多层防范策略：ARP攻击预测模块、头信息检测模块、拒绝无请求应答模块、发送RARP请求模块。ARP欺骗检测框架整体设计课题背景整体设计详细介绍实验测试和分析总结与展望详细介绍8详细介绍ARP攻击预测模块如果局域网内的主机

2、短时间内收到大量的ARP包，那么我们认为可能有主机在检测局域网内主机的信息，提醒主机可能会有ARP攻击。9详细介绍头信息检测模块如果检测到帧头中的MAC地址和帧数据中的MAC地址不同，则可以断定是ARP攻击包进行丢弃。If (是ARP报文)/检查帧头中源MAC地址Eth_Sou_MAC与ARP分组中 MAC地址Arp_Sou_MAC是否一致 If(Eth_Sou_MAC!=Arp_Sou_MAC) 丢弃该包并报警;详细介绍局域网内主机通过添加一个请求容器，记录本地发送ARP 请求的目的IP地址，对无请求的ARP 应答包一律不信任并丢弃。拒绝无请求应答模块该模块通过加入容器和判定操作，可以有效拒

3、绝无请求型应答，如：ARP洪泛攻击。详细介绍在收到ARP 应答包后使用携带的MAC地址发送一个RARP 请求包，比较RARP 应答中的IP 地址和MAC地址是否与之前收到的信息一致，如果不一致则说明ARP 应答报文异常，丢弃该条信息。发送RARP请求模块该模块利用RARP包进行二次检测，防范基于发送错误信息的ARP应答包的攻击方式。性能计算课题背景整体设计详细介绍实验测试和分析总结与展望委实验测试和分析实验测试和分析实验介绍在windows系统上用WinPcap对四个模块进行了实现，实现了抓包检测以及发送数据包的功能。实验的重点是测试拒绝无请求模块。分别在断开外网和连接外网场景两个场景下进行了

4、实验。下表为实验场景中MAC地址与IP地址对应表：主机/网关IP地址MAC地址网关192.168.1.100-21-27-60-10-1EPC1192.168.1.10100-1D-72-5F-91-81PC2192.168.1.10000-19-DB-7E-A1-5EPC3192.168.1.10500-19-DB-7E-AD-DCPC4192.168.1.103F4-6D-04-61-8C-38.实验测试与分析其中PC1为ARP攻击主机，运行WinArpAttacker进行ARP欺骗。PC2为关闭防火墙并运行检测程序的主机。为避免外界流量对局域网ARP信息的影响，测试过程中网关与外网断开。

5、内网测试实验测试与分析内网测试 内网测试结果组号 1 2 3攻击种类 F B F B F BARP攻击包数目 1000 45 2000 152 3000 178报警数 1000 45 2000 152 3000 178注：攻击种类F表示Flood攻击，B表示BanGateway攻击。在实验结果中，Flood和BanGateway两种方式攻击PC2，PC2检测出的ARP攻击数据包始终是全部ARP攻击包的100%。实验测试与分析检测程序在PC2上运行，ARP攻击软件WinArpAttacker在PC1上运行。我们用PC1隔一段时间攻击PC2，然后看PC2是否能全部检测出，并是否有误检的情况。外网测

6、试实验测试与分析外网测试实验过程中一共检测到14586个ARP数据包中，其中有3058个为欺骗包。通过对欺骗包的分析，欺骗包一共有三种。第一种，共3000个：019db7ea15e0 1010101c0a801640019db7ea15ec0a 00000000000000000000000 这是一种Flood攻击数据包。我们用WinArpAttacker进行了三次Flood攻击，每次1000次，一共3000次。第二种，共40个：019db7ea15e0 1010101c0a801640019db7ea15ec0a 00000000000000000000000这是BanGateway攻击数据

7、包，我们用WinArpAttacker发送了40次BanGateway攻击。实验测试与分析外网测试第三种，共18个：1-5个: 0019db7ea15e0019db7eaddc0 20019db7eaddcc0a801690019db7ea15ec0a 00000000000000000000000 6-18个: 0019db7ea15ef46d04618c380 2f46d04618c38c0a801670019db7ea15ec0a 00000000000000000000000 可以看出这些数据包都是正常的数据包，但经过对所有的ARP数据包的分析得出这些数据包都是未经过请求的应答包，而且集中在两台主机上。可能这两台主机上有某些程序需要隔一段时间就更新ARP表。实验测试与分析外网测试实验结果表明，检测程序能够检测出全部ARP攻击。但是由于某些软件更新ARP表的需求，可能会导致该模块有一些误检，将正常的未请求的ARP包检测为ARP欺骗包。但是经过多次实验，第一次实验一共收到14586个包，有18个误检，第二次实验一共收到13481，有9个误检，第三次实验一共收到12947个，有7个误检，误检率最高也仅仅为0.123%。实验测试与分析ARP欺骗检测框架分析实验过程中我们探讨了头信息检测模块的作用，尽