[发明专利]一种基于MAC地址动态欺骗实现定向微隔离的方法

说明书

本发明公开了一种基于MAC地址动态欺骗实现定向微隔离的方法，具体有以下步骤：S1：确认需要进行隔离的主机的IP；S2：获取所述待隔离主机的IP的正确MAC地址；S3：通过监听所述待隔离主机发出的ARP数据包，制定灵活的MAC地址欺骗策略，按需构造并动态发送ARP欺骗包；S4：通过监听同网段主机发出的ARP数据包，制定灵活的MAC地址欺骗策略，按需构造并动态发送ARP欺骗包。本发明中，可按需构造非常少量的ARP欺骗数据包，进行动态MAC地址欺骗，不但不会对网络造成传输压力，而且可绕过网络中ARP安全检测防护设备，使待隔离主机无法与同网段主机通讯，同时也无法与网关通信，因此也无法跨网段访问其它主机，稳定高效实现了定向对某个主机进行微隔离的作用。

技术领域

本发明涉及网络技术领域，尤其涉及一种基于MAC地址动态欺骗实现定向微隔离的方法。

背景技术

当下内网威胁泛滥，勒索病毒传播、内网横向攻击等都会导致内网主机失陷，企业单位若发现内网主机失陷，会优先对失陷主机进行隔离，避免失陷主机横向攻击内网其它正常主机，及时减少损失。

当前传统的隔离方法主要有两种：1、在网关设备上对失陷主机IP进行限制访问；2、在所有主机上安装agent软件，一旦某台主机失陷，可通过agent软件限制失陷主机的网络访问权限。以上两种传统的隔离方法都有劣势。方法1虽然操作简易，但无法隔离同网段的访问权限，失陷主机仍然可以对同网段主机进行横向攻击。方法2虽然可以做到真正的微隔离，限制了失陷主机同网段和跨网段的访问权限，但是部署和管理成本较高，需要在所有主机安装agent软件，而且失陷主机上的恶意程序，有可能会kill掉agent软件，使隔离功能失效。

发明内容

针对上述现有技术的不足，本发明的目的在于提供一种基于MAC地址动态欺骗实现定向微隔离的方法。通过该装置接入目标网络，不断监听网络中的ARP数据包，实时调整ARP欺骗策略，按需构造非常少量的ARP欺骗数据包，进行动态MAC地址欺骗，不但不会对网络造成传输压力，而且可绕过网络中ARP安全检测防护设备，可以稳定高效实现定向对某个主机进行微隔离的作用。

为了实现上述目的，本发明采取了如下的技术方案：

一种基于MAC地址动态欺骗实现定向微隔离的方法，包括以下步骤

S1：确认需要进行隔离的主机的IP；

S2：获取所述待隔离主机的IP的正确MAC地址；

S3：通过定向微隔离装置监听所述待隔离主机发出的ARP数据包，制定灵活的MAC地址欺骗策略，按需构造并动态发送ARP欺骗包；

S4：通过定向微隔离装置监听同网段主机发出的ARP数据包，制定灵活的MAC地址欺骗策略，按需构造并动态发送ARP欺骗包。

作为上述技术方案的进一步描述：

其中所述步骤S3，如果定向微隔离装置监听到所述待隔离主机发出的ARP广播请求包，即制定相应的MAC地址欺骗策略：向待隔离主机发送错误MAC地址的ARP应答欺骗包，让所述待隔离主机学习到同网段主机错误的MAC地址；

由于所述待隔离主机发出了ARP广播请求包，因此同网段主机也会收到该广播请求包，会导致同网段主机学习到所述待隔离主机正确的MAC地址。因此需要再制定相应的MAC地址欺骗策略：需伪装成所述待隔离主机的身份，发送一个ARP广播应答欺骗包，让同网段所有主机学习到所述待隔离主机错误的MAC地址。

其中所述ARP广播应答欺骗包内容为：以太网帧源MAC地址是所述待隔离主机的MAC地址，以太网帧目标MAC地址是广播MAC地址FF:FF:FF:FF:FF:FF，ARP帧op字段设置为应答类型2，ARP帧发送端IP是所述待隔离主机的IP，ARP帧发送端源MAC地址是所述待隔离主机错误的MAC地址，ARP帧目标IP是所述待隔离主机的IP，ARP帧目标MAC是所述待隔离主机错误的MAC地址。