ARP防攻击技术的研究

随着计算机应用范围的扩大，各种网络问题也日益增多，尤其是其中的攻击活动，更是降低了人们信息和财产的安全性。因此，基于ARP协议的网络运行基础协议是一项重大的突破，能够解决大部分的网络安全问题。

【关键词】网络安全 局域网 ARP攻击

1 ARP攻击

根据对地址的解析过程我们可以发现，ARP协议的格式非常简单，但是却具有非常高效的使用率，但是一般情况下安全性能不高，其安全性能不稳定主要表现为以下几个方面：cache的刷新速度较慢，存在着较长的时间限制，导致其在被攻击时攻击者拥有充足的时间进行修改。另外，其传播方式主要是以广播进行发送，导致其易被攻击者冒认，从而截获主机数据进行攻击。除此之外，以以太网作为主机能够对各种ARP报文进行伪造，导致其无法对报文进行正确的检测等。

1.1 仿冒网关攻击

假如一个主机在向另一个主机进行数据传输时，其应答报文的IP是网关IP，从而可以使用任意的伪造MAC来对真正的数据报文进行伪造，导致接收主机的ARP被任意进行修改，这样就会使该主机的网关同其他主机的网关不能进行正常的通信，这就是仿冒网关攻击。

1.2 仿冒用户攻击

对于这种攻击方式来说，主要存在两种，分别是欺骗网关和欺骗其他的用户。欺骗网关的方式是用一个主机向网关发送伪造的应答报文，该报文的源IP同另一个主机的IP一致，因此，可以使用任意的伪造MAC来对正确的MAC进行替换，从而导致接收到该报文的主机对自身的ARP进行相应的修改，阻断另一个主机的正常工作，这就是欺骗网关。对于欺骗其他用户来说，发送的伪造报文的源IP是其他主机的IP，真正的MAC也可以被任意替换，从而使接收端的主机修改自身的ARP，无法正常接收数据进行通信，这就是欺骗其他用户攻击的实现方式。

1.3 泛洪攻击

ARP报文的传输需要经过主机中的CPU进行处理，然后将其传输到其他主机上，假如一台计算机在瞬间接收到了较多的ARP报文，其设备会在一定的时间内仅仅处理ARP报文，对于其他的合法的用户请求则无法进行处理，同时，还会阻碍正常报文的转发。除此之外，瞬间涌入的大量ARP请求报文会瞬间占据全部的ARP表项，导致一部分的芯片无法进行新的ARP表项的学习，这种情况的出现，会导致交换机对全部的报文进行广播处理，大大影响了网络的传输效率，这种攻击方式就是ARP泛洪攻击。这种攻击方式主要目的并不是为了窃取数据信息，仅仅是使当前的网络出现瘫痪。

2 ARP防攻击技术的实现

针对当前存在的ARP攻击方式，本文提出了以下几种ARP防攻击的手段，并对每种方法进行了细致的讲解，由于当前的ARP攻击中结合了不同的攻击方式，因此，可以将其分为三种：仿冒用户攻击、仿冒网关攻击以及泛洪攻击。

2.1 网关保护功能

这种保护方法主要是作用在网关设备的端口上，在进行ARP报文的传输时，网关上的交换机以及路由器的端口能够对其进行正常的接收，然后通过相关的设备对接收到的报文的源IP进行相关的合法检验，假如接收到的报文能够正常通过检验，则说明该报文的来源合法，然后进行下一步的转发等工作；若不能正常接收，则说明该报文的IP不合法，对其进行丢弃处理。具体步骤是：首先，将接收到的报文从交换机的一个端口进入，然后通过安装的网管保护装置对其进行相应的IP检查，验证其是否具有合法性。假如能够通过验证，则认为该报文合法，然后将其中含有的信息记录到log日志中。而对于不能通过验证的报文，则需要将其进行丢弃。

2.2 ARP Detection

ARP Detection主要是用来接入层设备上，假如在某台计算机的VLAN上开启了ARP Detection，再对该VLAN上的全部ARP进行相应的合法性检测，保证传输报文的安全性，假如检测能够全部通过，则将收到的报文进行下一步的转发，在进行相应的处理。但当检测未能通过时，表明该报文存在着不合法的地方，将其进行丢弃和处理。对于ARP Detection来说，其功能主要分为以下三种：第一，用户的合法性检查。主要是将ARP中的非信任接口接收到的报文进行相关的安全性检查，像DHCP Snooping表项和OUI MAC表项等。在这四项表项中只要存在一种和原报文的IP和MAC相同，就表明该报文为合法报文，然后将其转发，进行下一步的处理。若不存在相同的，则将其进行丢弃。第二，报文有效性检查。该检查主要针对的是报文的源MAC、和IP地址等。当对MAC进行检查时，设备需要对相应的MAC地址进行相应的检查，若源MAC地址和广播的MAC地址之间存在着不同，则表明该报文存在着不合法的部分，对其进行丢弃。而针对于IP地址的检查则主要是对IP地址进行相应的合法性检查，相同则为合法报文，否则进行丢弃处理。第三，报文强制转发。当VLAN中的非信任端口接收到了合法的报文时，会将其进行转发，并按照一定的规则。其转发的具体规则为：首先，通过相关的信任端口向主机进行申请，然后，在进行转发时，具有目的MAC地址的报文优先通过进行转发，而对于没有对应的目的MAC端口，在通过相关的信任端口进行转发。

假如VLAN中配置了相应的ARP Detection，则会对相关的ARP报文进行相应的安全检查，而对于具有报文有效性检查的设备，则会根据系统的具体配置对报文进行相关的安全检查，若合法，则将报文进行强制性的转发，主要是通过VLAN中的信任端口进行转发，优先考虑目的MAC，在目的MAC不存在的情况下，在考虑ARP中的信任端口。

3 总结

本文根据对当前ARP技术的研究，总结了其中存在的一些问题，并对ARP攻击的各种方式进行了全面的阐述。除此之外，对于交换机设备等提出了一些较好的防御攻击的措施，像网关保护和主动确认等功能，然后将这些方法的原理进行了详细的阐释，并进行了一定的试验测试，能够表明其具有较大的开发空间，希望能够帮助我国的计算机局域网络发展贡献自己的一些力量。

参考文献

[1]刘和伟.基于计算机网络安全防ARP攻击的研究[J].数字技术与应用，2013（05）：224-225.

作者单位

南阳医学高等专科学校 河南省南阳市 473000