陈大文，耿 琦

（江苏金盾检测技术有限公司，江苏 南京 210042）

1 基于可信根的局域网络安全防护机制研究的必要性

局域网络一般都是部署于一个组织内部的区域网络，局域网的覆盖范围通常在几千米以内，它具有安装方便、成本低、易于扩展等特点。早期由于对安全性方面考虑得较少，因此局域网内网络安全存在相当严重的问题，主要面临的威胁有地址解析协议（ARP）攻击，IP欺骗等。常见的ARP攻击方式是ARP欺骗攻击和泛洪攻击。ARP欺骗攻击是通过伪造IP地址和MAC地址来实现ARP欺骗。网络上的计算机可以主动发送ARP响应报文[1]。当其他计算机接收到响应消息时，它们会将其放入本地ARP缓存，而不会检测消息的真实性。这样，攻击者就可以向计算机发送一条伪ARP响应消息，使该消息无法到达预期的计算机或错误的计算机，构成ARP欺骗。ARP泛洪攻击是在局域网中连续发送大量的正常的ARP请求包，这会消耗主机带宽，影响交换机和主机对正常的ARP报文的学习。这种数据包是正常的，所以不会被ARP防火墙过滤。IP欺骗是指通过伪造自己的IP地址向目标系统发送恶意请求，使得目标系统受到攻击但是却没有办法确定攻击的来源，或者通过获取目标系统的信任，从而可以从目标系统中获取到机密信息。IP欺骗对于依赖IP实现用户身份认证和访问许可等有严重的影响[2-3]。

局域网络出现此类攻击主要的原因是局域网数据交互是通过交换机的端口与MAC地址绑定来实现的。MAC地址固化在网卡中，但是IP地址是动态分配，因此在交换机与主机中需要通过ARP映射表来实现MAC与IP地址的映射转换。……