論計算機網(wǎng)絡(luò)安全的防ARP攻擊的安全策略

摘 要：隨著計算機信息技術(shù)的迅猛發(fā)展，計算機網(wǎng)絡(luò)在給人們的生活與工作帶來方便的同時，也給信息安全帶來一些問題，計算機網(wǎng)絡(luò)安全已成為目前必須解決的問題。本文首先闡述了ARP攻擊的基本原理與特征，然后分析了ARP攻擊可能會對網(wǎng)絡(luò)的危害，最后提出了一些有效、可行的防ARP攻擊具體的安全策略。

關(guān)鍵詞：計算機網(wǎng)絡(luò)；ARP攻擊；安全

中圖分類號：TP393.08

目前，計算機網(wǎng)絡(luò)安全越來越重要，主要體現(xiàn)在信息技術(shù)的信息的共享性和信息的保密性兩個方面。正由于計算機網(wǎng)絡(luò)的資源共享與交流已成為當(dāng)今社會發(fā)展必然的趨勢，因此同時意味著網(wǎng)絡(luò)存在很多潛在的安全風(fēng)險。在運用計算機網(wǎng)絡(luò)的時候，經(jīng)常會遭遇ARP攻擊的安全威脅。譬如被盜用IP地址，ARP攻擊不但會影響網(wǎng)絡(luò)的正常使用，而且還會給某些企業(yè)單位帶來巨大的經(jīng)濟損失。所以，如何保護(hù)計算機網(wǎng)絡(luò)以免遭受ARP攻擊，已成為網(wǎng)絡(luò)安全管理必須研究的問題。

1 ARP攻擊基本原理與特征

1.1 ARP攻擊基本原理

ARP協(xié)議其實指的是地址解析協(xié)議，是指在計算機發(fā)送數(shù)據(jù)幀之前，把目標(biāo)計算機所分配的IP地址解析成目標(biāo)的MAC地址的一個轉(zhuǎn)換過程。數(shù)據(jù)在計算機網(wǎng)絡(luò)中的傳輸，其實是采用“幀”的方式來進(jìn)行傳輸?shù)模瑤Y(jié)構(gòu)除了包括數(shù)據(jù)本身、數(shù)據(jù)相關(guān)的開始與結(jié)束的標(biāo)志以及數(shù)據(jù)的控制信息，還包括目標(biāo)MAC地址等等信息。計算機網(wǎng)絡(luò)傳輸?shù)倪^程中，要想讓某臺計算機與其他計算機能直接進(jìn)行通信，就得首先知道目標(biāo)計算機的MAC地址，但目標(biāo)計算機的MAC地址必須通過地址解析協(xié)議才能獲取。ARP協(xié)議最根本的功能就是能利用目標(biāo)計算機的IP地址來查詢到目標(biāo)的MAC地址，從而確保計算機網(wǎng)絡(luò)之間能正常進(jìn)行通信。

正因為ARP協(xié)議有這個原理，因此ARP攻擊能把IP地址轉(zhuǎn)變?yōu)榈诙拥腗AC地址，再通過偽造MAC地址以及IP地址來從事ARP欺騙，從而在網(wǎng)絡(luò)中會產(chǎn)生大量的ARP通信流量，對網(wǎng)絡(luò)造成堵塞。通過盜用IP地址來攻擊目標(biāo)的MAC地址，讓網(wǎng)絡(luò)中產(chǎn)生多個MAC地址和IP地址，用此來攻擊網(wǎng)絡(luò)。如圖1：

圖1

（1）要發(fā)送網(wǎng)絡(luò)包給192.168.1.1，但不知MAC地址？

（2）在局域網(wǎng)發(fā)出廣播包“192.168.1.1的MAC地址是什么？”

（3）其他機器不回應(yīng)，只有192.168.1.1回應(yīng)“192.168.1.1的MAC地址是00-aa-00-62-c6-09”

從上面可以看出，ARP協(xié)議的基礎(chǔ)就是信任局域網(wǎng)內(nèi)所有的人，那么就很容易實現(xiàn)在以太網(wǎng)上的ARP欺騙。更何況ARP協(xié)議是工作在更低于IP協(xié)議的協(xié)議層，因此它的危害就更加隱蔽。

1.2 ARP攻擊的特征

ARP攻擊具有如下幾個特點：第一，具有隱蔽性。通常要避免IP地址之間發(fā)生的沖突有很多方法，但對于ARP攻擊來說，計算機系統(tǒng)不會判斷ARP緩存正確與否，從而也不會出現(xiàn)類似IP地址之間的沖突那樣的提示信息。因此對計算機網(wǎng)絡(luò)的用戶ARP攻擊具有隱蔽性。第二，很難消除。網(wǎng)絡(luò)中發(fā)生ARP攻擊很難被消除，因此，增加網(wǎng)絡(luò)管理員維護(hù)和管理計算機網(wǎng)絡(luò)安全工作的難度。第三，對網(wǎng)絡(luò)造成堵塞。ARP攻擊是通過偽造MAC地址和IP地址進(jìn)行的，從而讓計算機網(wǎng)絡(luò)產(chǎn)生大量的ARP通信流量，對網(wǎng)絡(luò)造成堵塞，直接影響計算機網(wǎng)絡(luò)之間的通訊能力。

2 ARP攻擊對網(wǎng)絡(luò)的危害

ARP攻擊對計算機網(wǎng)絡(luò)的危害較大，不但會導(dǎo)致計算機之間無法進(jìn)行網(wǎng)絡(luò)連接，而且還會讓計算機里存儲的密碼和重要數(shù)據(jù)等被盜竊。具體來講有網(wǎng)絡(luò)接入速度不穩(wěn)，時而快時而慢，從而無法保證網(wǎng)絡(luò)通訊質(zhì)量的穩(wěn)定性；還有會偶爾發(fā)生IP沖突，從而導(dǎo)致計算機無法進(jìn)行通訊；還有ARP攻擊會造成計算機網(wǎng)絡(luò)的用戶賬號數(shù)據(jù)信息被盜竊，從而進(jìn)行一些非法的網(wǎng)絡(luò)活動，會給網(wǎng)絡(luò)用戶帶來一定的經(jīng)濟損失；最后使用ARP攻擊形式還會導(dǎo)致IP地址發(fā)生沖突的級別高出計算機的屏保，從而威脅計算機的安全。

3 防ARP攻擊具體的安全策略

3.1 防御ARP攻擊最基本的方法

防御ARP攻擊最基本的方法：（1）重啟計算機，致使ARP攻擊丟失攻擊環(huán)境；（2）禁止使用計算機網(wǎng)卡，讓目標(biāo)MAC地址變得不可達(dá)，從而讓APP攻擊失去攻擊目標(biāo)，防止攻擊的發(fā)生；（3）對網(wǎng)絡(luò)設(shè)備采取復(fù)位，讓設(shè)備恢復(fù)出廠設(shè)置。以上這些防御方法對于用戶的計算機水平和知識的要求很低，可以暫且有效地保護(hù)計算機網(wǎng)絡(luò)的安全。但是其保護(hù)效果不太長久，還會給用戶的工作帶來一些不便，僅適合被計算機水平不高的用戶所使用。

3.2 采取雙向地址綁定

防御ARP攻擊最常用的安全策略是雙向地址綁定，它利用雙向綁定MAC地址以及IP地址來防止攻擊。因為ARP攻擊采用的手段是偽造MAC地址與IP地址進(jìn)行的，所以計算機網(wǎng)絡(luò)的安全不可只建立在MAC地址或是IP地址的基礎(chǔ)上，而是必須建立在雙重地址的基礎(chǔ)之上，實現(xiàn)雙向綁定。雙向地址綁定采用的具體方法是實現(xiàn)IP地址與MAC地址之間一對一映射，確保ARP表不可被更改，因而就能防御APP欺騙行為。

3.3 使用SOCKET開發(fā)防御系統(tǒng)

通過使用SOCKET編程來開發(fā)ARP攻擊的防御系統(tǒng)，能夠防止ARP攻擊。但是這個方法比較考驗網(wǎng)絡(luò)管理員的技術(shù)，需要管理員能深入地了解SOCKET編程技術(shù)以及ARP攻擊原理。此方法不僅要求SOCKET系統(tǒng)能預(yù)防ARP攻擊，而且要求它在遭遇ARP攻擊之時能具有報警功能，還要求顯示遭受攻擊的主機信息，以便網(wǎng)絡(luò)管理員能及時針對主機問題采取修復(fù)措施。

3.4 使用ARP防火墻

所謂ARP防火墻技術(shù)便是根據(jù)ARP攻擊所開發(fā)的，它的主要功能是能確保網(wǎng)關(guān)所獲取的MAC地址與計算機所獲取的MAC地址的合法性，也就是確保計算機網(wǎng)絡(luò)所有活動都能獲取合法的MAC地址，確保網(wǎng)關(guān)與計算機能不受假ARP數(shù)據(jù)包的干擾。

4 小結(jié)

計算機網(wǎng)絡(luò)安全已經(jīng)成為計算機技術(shù)工程的一個重要課題，ARP攻擊是計算機網(wǎng)絡(luò)所面臨的一個重大的安全隱患。以上通過分析研究當(dāng)前計算機網(wǎng)絡(luò)ARP攻擊的特征和原理，提出了基于計算機網(wǎng)絡(luò)安全的有效可行的防御ARP攻擊一些的安全策略，可供計算機的網(wǎng)絡(luò)管理員在維護(hù)計算機網(wǎng)絡(luò)安全時作參考。

參考文獻(xiàn)：

[1]馬蓉平.計算機網(wǎng)絡(luò)安全與ARP攻擊的解決方案[J].遼寧教育行政學(xué)院學(xué)報，2009（02）.

[2]李靜媛.ARP攻擊對網(wǎng)絡(luò)安全的危害及對策研究[J].中國新技術(shù)新產(chǎn)品，2009（17）.

[3]郝玲麗，許志飛.基于網(wǎng)絡(luò)結(jié)點的ARP攻擊的分析與防范[J].電腦知識與技術(shù)，2009（10）.

[4]田維珍，竇為偉，龐雄昌.ARP欺騙攻擊防控方法研究[J].計算機與信息技術(shù)，2010（Z2）.

[5]張黃勵.針對ARP攻擊的主動防范策略研究與實現(xiàn)[D].重慶大學(xué)，2010.

[6]夏海靜，劉光偉.ARP攻擊防范及解決方案分析[J].福建電腦，2011（01）.

作者簡介：徐林（1981-），女，湖北隨州人，碩士研究生，助理工程師，目前主要從事智能檢索技術(shù)在機場系統(tǒng)中的應(yīng)用方面的研究。