CN100563149C

CN100563149C - 一种dhcp监听方法及其装置

Info

Publication number: CN100563149C
Application number: CNB2007100277071A
Authority: CN
Inventors: 谭学飞
Original assignee: Huawei Technologies Co Ltd
Current assignee: Huawei Technologies Co Ltd
Priority date: 2007-04-25
Filing date: 2007-04-25
Publication date: 2009-11-25
Anticipated expiration: 2027-04-25
Also published as: CN101039176A; WO2008131658A1

Abstract

本发明公开了一种DHCP监听方法，通过在收到的用户报文不能命中DHCP绑定表时建立DHCP黑名单绑定表，并记录该DHCP黑名单绑定表被命中的频率信息，达到跟踪攻击者的目的。本发明还公开了一种DHCP监听装置。通过本发明，可以跟踪攻击者的攻击行为并获得必要的信息，便于网管进行分析。

Description

一种DHCP监听方法及其装置

技术领域

本发明涉及通信网络技术领域，具体地涉及一种DHCP监听方法及其装置。

背景技术

随着网络规模的扩大和网络复杂度的提高，动态主机配置协议(DynamicHost Configuration Protocol，DHCP)得到了广泛的应用。但DHCP协议在应用的过程中遇到很多安全方面的问题，攻击者利用DHCP进行攻击的主要手段包括以下两个：

1)IP/MAC欺骗攻击：攻击者向网关路由器发送带有自己MAC和受害者IP的报文(包括IP报文和绑定表对地址解析协议(Address Resolution Protocol，ARP)报文等)，让网关路由器学习到受害者IP和自己的MAC地址绑定关系，则后续所有到达受害者的报文都将转发到攻击者那里。

2)中间人攻击：攻击者向受害者发送带有自己的MAC地址和网关IP地址的报文(包括IP和ARP报文，往往是ARP报文)，让受害者学习到错误的ARP，则后续所有须发送到网关外部的报文都将发送给攻击者，此时攻击者可以对报文进行分析窃取信息，然后可以选择丢弃还是再转发给网关。

为解决这些问题，目前通用的办法是在接入用户的网络设备处，如网关交换机上使能DHCP监听(Snooping)功能。

DHCP Snooping协议栈通过监听DHCP报文，建立DHCP绑定表，该绑定表的表项包括：IP地址、MAC地址、入端口号和虚拟局域网(Virtual LAN，VLAN)号。在转发报文时，利用DHCP绑定表对地址解析协议(AddressResolution Protocol，ARP)报文、IP报文进行检查，从而解决上述的欺骗攻击安全问题。其基本方案示意图如图1所示，用户B的MAC地址及IP地址为：B，10.1.1.2；用户C的MAC地址及IP地址为：C，10.1.1.3；网络设备A的MAC地址及IP地址为：A，10.1.1.1。在接入用户的网关交换机上使能DHCPSnooping功能，则无论是正常用户如用户B还是其它可能有攻击行为的用户如用户C，首先必须进行DHCP首次地址申请。

网关交换机监听申请过程中的所有DHCP报文，通过分析往来的DHCP报文，建立如下所示的DHCP绑定表。

表1DHCP绑定表

MAC地址	IP地址	入端口号	VLAN号
MAC地址	IP地址	入端口号	VLAN号	B	10.1.1.2	E2	1
C	10.1.1.3	E2	3	B	10.1.1.2	E2	1

当攻击者发起欺骗攻击时，比如用户C发起一个免费ARP报文给B，欺骗用户B说，IP地址为10.1.1.1网关的MAC为C，那么在网关交换机处将对此ARP报文进行检测，拿本ARP报文携带的信息，包括其源MAC地址，源IP地址(或ARP净荷中声明的IP地址)以及入端口信息，本例中MAC地址为C、IP地址为10.1.1.1、入端口号为E2、VLAN号为3，去查找DHCP绑定表，发现其无法命中DHCP绑定表，则网关交换机会把该报文丢弃。所以，欺骗ARP报文将无法到达其它任何用户包括用户B，从而制止了用户C的攻击行为。

而对于正常用户，比如用户B，使用网络则没有任何问题，因为其发送的所有报文，都将遵循其DHCP地址申请时的信息，即MAC地址为B，源IP地址为10.1.1.2，正常情况下，将能在网关交换机处正确命中DHCP绑定表，从而正常访问外部网络。

DHCP Snooping方案解决了DHCP的安全问题，但该方案对攻击者报文仅是简单丢弃，通过该方案无法了解关于攻击者的任何信息。

发明内容

本发明实施例所要解决的技术问题在于，提供一种DHCP监听方法，当受到攻击时，跟踪记录该攻击行为。

为了解决上述技术问题，本发明实施例提出了一种DHCP监听方法，包括：

接收用户报文并判断其是否命中正常的DHCP绑定表，如果判断结果为是，则转发所述用户报文，否则，执行下一步；

提取所述报文的入端口信息、虚拟局域网信息及其源MAC、源IP地址信息创建DHCP黑名单绑定表；并仿照DHCP服务器向所述用户发送DHCPNAK报文；

记录后续收到的用户报文命中所述DHCP黑名单绑定表的频率信息。

相应地，本发明实施例提供一种DHCP监听装置，用于监听网络设备收到的用户报文，包括有：

绑定表存储单元，用于存储DHCP绑定表；

命中判断单元，用于根据所述网络设备接收的用户报文中的信息查找存储于所述绑定表存储单元中的DHCP绑定表，判断所述用户报文是否命中正常的DHCP绑定表，并在判断结果为是时命令所述网络设备转发所述用户报文；

DHCP黑名单绑定表单元，用于当所述命中判断单元的判断结果为否时，提取所述报文的入端口信息、虚拟局域网信息及其源MAC、源IP地址信息创建DHCP黑名单绑定表，并将所述DHCP黑名单绑定表存储于所述绑定表存储单元；

其中，所述绑定表存储单元进一步包括有：

绑定表类型存储单元，用于存储DHCP绑定表的类型是否为DHCP黑名单绑定表的信息；

命中频率存储单元，用于记录所述DHCP黑名单绑定表被用户报文命中的频率信息。

综上，本发明实施例提供的一种DHCP监听方法及其装置，通过当收到的用户报文不能命中DHCP绑定表时建立DHCP黑名单绑定表，并记录该DHCP黑名单绑定表被命中的频率信息，达到跟踪攻击者的目的，从而获得了攻击者的攻击行为信息，便于网管进行分析以采取必要的反攻击措施。

附图说明

图1是现有技术中DHCP监听方法的应用示意图；

图2是本发明中DHCP监听方法实施例一的流程示意图；

图3是本发明中DHCP监听方法实施例三的流程示意图；

图4是图3中步骤S3003的一实施方式的流程示意图；

图5是本发明中DHCP监听装置实施例一的功能模块组成示意图；

图6是本发明中DHCP监听装置实施例二的功能模块组成示意图；

图7是本发明中DHCP监听装置实施例三的功能模块组成示意图。

具体实施方式

下面结合附图对本发明作进一步详细清楚的说明。

图2示出了本发明DHCP监听方法实施例一的流程示意图，该实施例包括以下步骤：

步骤S2001：接收用户报文并判断其是否命中DHCP绑定表，如果判断结果为是，则转发所述用户报文，否则，执行步骤S2002。

步骤S2002：提取所述报文的入端口信息、虚拟局域网信息及其源MAC、源IP地址信息创建DHCP黑名单绑定表。

步骤S2003：记录后续收到的用户报文命中所述DHCP黑名单绑定表的频率信息。

当收到的用户报文不能命中DHCP绑定表时，很大的可能是因为该报文是攻击者发送的攻击报文，在本发明的该实施例中，不再将该报文简单丢弃，而是从该报文中提取相关信息建立一个DHCP黑名单绑定表，以跟踪后续的攻击行为，然后才丢弃该用户报文。后续收到的用户报文命中该黑名单绑定表时，记录该DHCP黑名单绑定表被命中的频率信息，即，在某一定时间内该DHCP黑名单绑定表被命中了几次。例如，如图1中所示的接入设备(图中为网络交换机)收到用户C的报文，由于入端口使能了DHCP监听功能，接入设备的DHCP监听单元从该报文中提取源MAC以及源IP地址等信息，加上入端口信息(即端口号)和VLAN号，去查找DHCP绑定表，如果查找不到对应的DHCP绑定表(即没有一个DHCP绑定表的表项内容与从用户C的报文中提取出的相关信息一致)，很大的可能是因为用户C发送的是攻击报文。这时，接入设备不是直接丢弃该报文，而是根据从该报文中提取的源MAC、源IP地址、入端口及VLAN信息像建立正常的DHCP绑定表那样建立DHCP黑名单绑定表。如表一所示，正常的DHCP绑定表包括MAC地址、IP地址、入端口号、VLAN号四个字段，本实施例中的DHCP黑名单绑定表比正常的DHCP绑定表增加了两个字段：绑定表类型及命中频率。绑定表类型字段用于标识该绑定表是正常的DHCP绑定表还是DHCP黑名单绑定表。命中频率字段用于当该绑定表为DHCP黑名单绑定表时记录其被命中的频率信息。即，在建立DHCP黑名单绑定表之后，如果有用户报文命中绑定表，通过绑定表类型字段判断被命中的为DHCP黑名单绑定表，则在命中频率字段中记录该DHCP黑名单绑定表被命中的频率信息。

通过该实施例，获得了攻击者的攻击行为信息，便于网管进行分析，以采取进一步的措施。

如上所述，当收到的用户报文是攻击报文时，该报文不能命中DHCP绑定表。在实际应用中，如果某一DHCP绑定表非正常丢失，则与之相对应的用户所发送的报文在接入设备上就无法命中对应的DHCP绑定表，但这时的用户报文不能等同看作攻击报文，而必须对其采取不同于攻击报文的措施。

为此，本发明提供DHCP监听方法的另一实施例，该实施例与实施例一的不同在于，在步骤S2002中还包括步骤：仿照DHCP服务器向该用户发送DHCPNAK报文。即，当收到的用户报文不能命中DHCP绑定表时，除按照实施例一的步骤建立DHCP黑名单绑定表对该用户进行跟踪外，还仿照DHCP服务器向该用户发送DHCPNAK报文。当用户接收到这个DHCPNAK报文后，按照DHCP协议，将自动重新发起首次地址申请，DHCP监听单元通过监听首次地址申请过程中的DHCP报文，重新建立起对应用户的DHCP绑定表，则用户在申请地址成功之后就可以照常上网了。整个过程中无需用户手动操作，可以在用户不觉察的情况下重新建立起DHCP绑定表，使用户照常上网。

通过本实施例，当用户对应的DHCP绑定表非正常丢失时，可以在用户不觉察的情况下重新建立起对应的DHCP绑定表，使用户照常上网。

在实施例一或实施例二的基础上，在建立了DHCP黑名单绑定表并记录其被命中的频率信息后，本发明的监听方法还可以作进一步的改进，如图3示出了本发明监听方法的实施例三，包括以下步骤：

步骤S3001：接收后续用户报文并判断其是否命中DHCP绑定表，如果判断结果为否，则仿照DHCP服务器向所述用户发送DHCPNAK报文，否则，执行步骤S3002。

步骤S3002：判断所述用户报文命中的DHCP绑定表是否为DHCP黑名单绑定表，如果判断结果为否，则按照现有技术转发所述用户报文，否则，执行步骤S3003。

步骤S3003：按照预定的配置策略处理所述用户报文。

当收到的用户报文不能命中DHCP绑定表时，在本实施例中和实施例二一样，仿照DHCP服务器向该用户发送DHCPNAK报文，使用户发起首次地址申请，从而重新建立对应的DHCP绑定表。当收到的用户报文命中了绑定表，这时，不是直接将报文按现有技术转发，而是要进一步判断该DHCP绑定表的类型，即，根据绑定表中的绑定表类型字段判断其是正常的DHCP绑定表还是DHCP黑名单绑定表。如果被命中的是正常的DHCP绑定表，则说明该报文不是欺骗攻击报文，则按现有技术转发。如果判断命中的绑定表类型为DHCP黑名单绑定表，则说明该报文有可能是攻击报文，则记录该DHCP黑名单绑定表被命中的频率信息，即在某一时间段内被命中了多少次，同时按照预定的配置策略对该报文进行处理。

通过本实施例，可以根据被命中的绑定表的类型对报文分别进行处理，增强了设备对攻击的识别能力。

作为一种实施方式，所谓配置策略可以为：如果该用户发送报文的速度值超过了预设的某一限速值，则丢弃该报文，如果没有超过，则向该用户发送DHCPNAK报文。用户发送报文的速度可以由DHCP黑名单绑定表的命中频率字段中所记录的频率信息计算得出。如，所记录的频率信息为该黑名单绑定表2分钟内被命中了4次，则可以计算出对应的发送速度为30s/次。

对应上述配置策略，步骤S3003的一种实施方式流程图如图4所示，包括以下步骤：

步骤S4001：根据所述频率信息计算所述用户报文的发送速度值，并将所述计算的发送速度值与一限速值进行比较，如果所述发送速度值大于所述限速值，则丢弃所述用户报文，否则，执行步骤S4002。

所述频率信息为步骤S2003中记录的该DHCP黑名单绑定表被命中的频率信息，按照前述方法将该频率信息换算成用户报文的发送速度。所述限速值可以根据需要预先设定。

步骤S4002：仿照DHCP服务器向所述用户发送DHCPNAK报文。

通过上述配置策略，可以有效防止恶意用户的拒绝服务攻击。

相应地，本发明还提供DHCP监听装置的实施例，其实施例一的功能模块组成示意图如图5所示。该DHCP监听装置实施例用于监听网络设备收到的用户报文，包括有绑定表存储单元3、命中判断单元8、DHCP黑名单绑定表单元1。

绑定表存储单元3用于存储DHCP绑定表；

命中判断单元8用于根据所述网络设备接收的用户报文中的信息查找存储于所述绑定表存储单元3中的DHCP绑定表，判断所述用户报文是否命中一DHCP绑定表，并在判断结果为是时命令所述网络设备转发所述用户报文；

DHCP黑名单绑定表单元1用于当所述命中判断单元8的判断结果为否时，提取所述报文的入端口信息、虚拟局域网信息及其源MAC、源IP地址信息创建DHCP黑名单绑定表，并将所述DHCP黑名单绑定表存储于绑定表存储单元3。即，当收到的用户报文不能命中DHCP绑定表时，提取所述报文的入端口信息及其源MAC、源IP地址信息创建DHCP黑名单绑定表。之所以叫作黑名单绑定表，是因为报文不能命中DHCP绑定表还可能由于以下原因：对应的DHCP绑定表并不是丢失，而是由于该报文只是黑客发送的攻击报文，网络设备处原来并没有建立对应的DHCP绑定表，所以无法命中。这时，为便于跟踪攻击者的攻击行为，DHCP黑名单绑定表单元1建立起对应的DHCP黑名单绑定表。

为区别正常的DHCP绑定表和DHCP黑名单绑定表，绑定表存储单元3还包括绑定表类型存储单元31，用于存储DHCP绑定表的类型是否为DHCP黑名单绑定表的信息。为跟踪了解攻击者的行为信息，绑定表存储单元3还包括命中频率存储单元32，用于当DHCP绑定表的类型为DHCP黑名单绑定表时，记录其被命中的频率信息，即在某一时间段内该DHCP黑名单绑定表被命中的次数。

通过本实施例，可以有效跟踪攻击者的行为信息，便于网管进行分析。

需要注意的是，所述接入设备及网络设备实际上包括所有支持DHCPSnooping功能的网络设备。上文中提到的网关交换机只是所述网络设备的一个特例，并不限于此。

本发明DHCP监听装置实施例二的功能模块组成示意图如图6所示，它与实施例一的不同在于还包括有DHCP反确认单元4，用于当所述命中判断单元8的判断结果为否时(即对应的DHCP绑定表非正常丢失时)，仿照DHCP服务器向所述用户发送DHCPNAK报文，告诉用户该IP地址已不可以，请重新申请。则用户收到该DHCPNAK报文后发起首次地址申请，DHCP监听装置监听首次地址申请流程中往来的DHCP报文，重新建立起对应的DHCP绑定表。用户申请地址成功后即可照常上网。

通过本实施例，除能实现实施例一的功能外，还可以实现当DHCP绑定表非正常丢失时，在用户不觉察的情况下自动重新建立起DHCP绑定表，使用户照常上网。

在实施例一或二的基础上还可以对DHCP监听装置作进一步的改进，以充分利用DHCP黑名单绑定表单元1、绑定表类型存储单元31及命中频率存储单元32的功能。图7示出了改进后的DHCP监听装置，即实施例三的功能模块组成示意图，除包括实施例二的所有功能单元外，它还包括有类型判断单元5、控制单元6、黑名单绑定表处理单元7。

类型判断单元5用于当所述命中判断单元8的判断结果为是时，即当收到的用户报文命中DHCP绑定表时，根据所述绑定表类型存储单元31中存储的该DHCP绑定表的类型信息，判断其是否为DHCP黑名单绑定表，即，判断其是DHCP黑名单绑定表还是正常的DHCP绑定表，并将判断结果发送给所述控制单元6。

控制单元6接收所述类型判断单元5的判断结果，当所述类型判断单元5的判断结果为是时，对所述黑名单绑定表处理单元7下发分析命令，并根据所述黑名单绑定表处理单元7返回的分析结果按照预定的配置策略处理所述用户报文；当所述类型判断单元5的判断结果为否时，命令网络设备将该用户报文按照现有技术转发。黑名单绑定表处理单元7用于根据所述控制单元6的分析命令对所述黑名单绑定表进行分析，并将分析结果发送给所述控制单元6。

作为一种实施方式，黑名单绑定表处理单元7进一步包括有速度计算单元71、限速预设单元72及比较单元73。速度计算单元71用于根据所述命中频率存储单元32中存储的命中频率信息计算所述用户报文的发送速度值。如，所记录的频率信息为该黑名单绑定表2分钟内被命中了4次，则可以计算出对应的发送速度值为30s/次。限速预设单元72用于预先设置用户报文所被允许的最大发送限速值。比较单元73用于根据所述分析命令读取所述发送速度值及所述限速值，比较它们的大小，并将比较结果发送给所述控制单元6。

作为一种实施方式，控制单元6中存储的预定的配置策略可以为：如果该用户发送报文的速度值超过了预设的某一限速值，则丢弃该报文，如果没有超过，则向该用户发送DHCPNAK报文。则，控制单元6收到比较单元73发送过来的比较结果后，如果发送速度值超过了限速值，则通知所述网络设备丢弃该报文，否则，命令DHCP反确认单元4向所述用户发送DHCPNAK报文，使该用户发起首次地址申请。

通过本实施例，可以跟踪攻击者的行为信息，并增强设备的攻击识别能力，有效防止恶意用户的拒绝服务攻击。

以上所揭露的仅为本发明的较佳实施例而已，当然不能以此来限定本发明之权利范围，因此依本发明权利要求所作的等同变化，仍属本发明所涵盖的范围。

Claims

1、一种DHCP监听方法，其特征在于，包括：

2、如权利要求1所述的DHCP监听方法，其特征在于，所述记录所述频率信息之后还包括：

接收后续用户报文并判断其是否命中正常的DHCP绑定表或DHCP黑名单绑定表，如果判断结果为否，则仿照DHCP服务器向所述用户发送DHCPNAK报文，否则，执行下一步；

判断所述用户报文命中的DHCP绑定表是否为DHCP黑名单绑定表，如果判断结果为否，则转发所述用户报文，否则，执行下一步；

根据所述频率信息计算所述用户报文的发送速度值，并将所述计算的发送速度值与一限速值进行比较，如果所述发送速度值大于所述限速值，则丢弃所述用户报文，否则，执行下一步；

仿照DHCP服务器向所述用户发送DHCPNAK报文。

3、一种DHCP监听装置，用于监听网络设备收到的用户报文，其特征在于，包括有：

绑定表存储单元，用于存储DHCP绑定表；

其中，所述绑定表存储单元进一步包括有：

4、如权利要求3所述的DHCP监听装置，其特征在于，还包括有：

DHCP反确认单元，用于当所述命中判断单元的判断结果为否时，仿照DHCP服务器向所述用户发送DHCPNAK报文。

5、如权利要求4所述的DHCP监听装置，其特征在于，还包括有类型判断单元、控制单元、黑名单绑定表处理单元，当所述命中频率存储单元中记录由所述DHCP黑名单绑定表被用户报文命中的频率信息后，所述命中判断单元判断接收的用户报文是否命中正常的DHCP绑定表或DHCP黑名单绑定表：

所述类型判断单元，用于当所述命中判断单元的判断结果为是时，根据绑定表类型存储单元中信息判断所述被命中DHCP绑定表是否为DHCP黑名单绑定表，并将判断结果发送给所述控制单元；

所述控制单元，用于当所述类型判断单元的判断结果为是时，对所述黑名单绑定表处理单元下发分析命令，如果所述用户报文的发送速度值大于所述限速值，则所述控制单元命令所述网络设备丢弃所述用户报文，否则，命令所述DHCP反确认单元向所述用户发送DHCPNAK报文；或者当所述类型判断单元的判断结果为否时，命令所述网络设备将所述用户报文转发；

所述黑名单绑定表处理单元，用于根据所述控制单元的分析命令对所述黑名单绑定表进行分析，并将分析结果发送给所述控制单元。

6、如权利要求5所述的DHCP监听装置，其特征在于，所述黑名单绑定表处理单元进一步包括有速度计算单元、限速预设单元及比较单元，其中：

所述速度计算单元，用于根据所述命中频率存储单元中存储的命中频率信息计算所述用户报文的发送速度值；

所述限速预设单元，用于预先设置用户报文所被允许的最大发送限速值；

所述比较单元，用于根据所述分析命令读取所述计算的发送速度值及所述预设置的最大发送限速值，并进行比较，并将比较结果发送给所述控制单元。