张冰冰

(黑龙江省电力医院 微机室，黑龙江 哈尔滨 150090)

用于感知局域网攻击的离散事件系统研究

张冰冰

(黑龙江省电力医院 微机室，黑龙江 哈尔滨 150090)

由于地址解析协议(ARP)是无状态协议，且由主机发送的任何IP-MAC配对时在未经验证的情况下被接受，由此可能被局域网(LAN)中的恶意主机利用。针对该问题，文中提出了用于LAN攻击的入侵检测系统的离散事件系统。通过在ARP分组序列的基础上，在正常和攻击状态下为LAN建立离散事件系统模型；使用主动ARP检测以在正常和攻击状态下创建不同的ARP事件；随后，构建离散事件系统检测器，根据检测到的ARP事件确定LAN是否处于正常或攻击状态。文中所提出的方案在测试平台中被成功实现。

局域网(LAN)攻击；离散事件系统；地址解析协议(ARP)；网络安全

基于LAN特定攻击的任何计算机安全威胁，均来自LAN中的受损或恶意主机。此类大多数的攻击涉及的基本步骤包括：由于伪造的IP-MAC对而导致的缓存中毒，这可能导致其他攻击，即MiTM、拒绝服务等[1-3]；IP和MAC地址之间的动态绑定(因IP是动态的)，由地址解析协议(ARP)完成；ARP负责查找给定IP地址的MAC地址，数据链路层使用发送分组的目的地机器MAC地址。在文献[4～9]中提出了诸多解决方案来检测/减轻和防止ARP攻击。

本文提出了用于检测ARP相关攻击的基于离散事件系统(DES)的网络入侵检测系统(IDS)。DES的特征在于离散状态空间和一些事件驱动的动态，其已广泛用于大型系统如化学反应室、核反应堆等的故障检测和诊断。……