您现在的位置: 通信界 >> 互联网络 >> 技术正文  
 
检测非法改装的无线路由器技术浅析
[ 通信界 / 吴淼 龙茂华 李博 / www.cntxj.net / 2023/7/23 18:28:15 ]
 

摘要:通过TCP/IP协议的综合利用,结合客户端探测以及数据分析,可以形成基于用户终端的接入网络拓扑信息,以及生成接入终端的特征指纹信息,可将采集的数据用于用户上网行为分析。传统的用户上网行为安全审计设备存在实时性差、检测不准确等问题。本文基于对校园网的拓扑结构以及网络协议的特征分析,及针对非法改装无线路由器的原理分析,提出组合网络协议检测非法路由器的一种技术。通过实验验证,此技术能有效解决检测非法改装无线路由器的难题,可以应用于校园网用户上网行为分析领域。

关键词;实名制;网络拓扑;终端协同;大数据

一、引言

校园网络实名制上网安全是信息安全管理的重要内容,而校园内存在大量的非法改装无线路由器,一方面非法改装无线路由器不符合国家网络设备安全规定,另一方面检测发现非法改装无线路由器也存在技术困难,对用户上网身份无法有效溯源,存在信息安全隐患。本文基于对校园网的拓扑结构以及网络协议的特征分析,以及针对非法改装无线路由器的原理分析,提出组合网络协议检测非法路由器的一种技术,并通过实验验证。此技术可有效解决检测非法改装无线路由器的难题,可以应用于校园网用户上网行为分析领域。

通过强加密技术实现客户端软件,并通过客户端软件拨号后接入校园网络,可检测常规用户上网行为并保障实名制安全上网。非法改装无线路由器,通过路由器内篡改网络协议(如:IPID伪装、TTL伪装、路由跟踪伪装等)以及复制终端MAC地址、IP等方式来规避客户端软件的检测。客户端常规的单项检测技术无法有效检测出这种改装无线路由器,考虑通过网络拓扑发现异常行为。由于终端接入的时间具有随机性、终端连接网络设备发生变更,校园拓扑发生变化,需要综合多种网络协议,构建校园网络拓扑信息,并基于采集数据进行分析,发现非法串接改装无线路由器的行为。

本文主要包括客户端软件以及服务端软件,利用运行在拨号上网终端上的客户端软件,主动发现并采集网络设备信息,服务端通过汇总分析客户端采集到的数据,形成一份广泛、详细、动态的网络拓扑信息。服务端利用生成的网络拓扑信息,结合终端状态信息通过终端邻居设备及孤立结点分析等方法,发现并定位疑似非法改装无线路由器。

二、网络拓扑发现

终端客户端从横向(邻居发现)和纵向(路由发现)两个方向探测网络拓扑结构,网络探测通过负载均衡设置和终端协同,实现校园网内单台终端只需少量检测采集可汇聚形成大规模终端检测数据。终端将网络拓扑信息上报到分析服务器,分析服务器将相关数据存储到数据库。分析服务器定期从数据库获取终端采集到的原始数据,进行相应的分析并生成整体的网络拓扑。校园网拓扑模型如图1所示,主要由3部分组成:终端、分析服务器和数据库。其中终端中安装特定拨号客户端,内置网络探测功能,用户必须使用该客户端拨号才能接入互联网;改装无线路由器上联到接入交换机。

(一)邻居发现

客户端使用ARP协议探测与自身终端接入到同一子网内的邻居终端设备。进行邻居发现探测时排除网关地址,子网广播地址等特殊IP地址。终端发送ARP指令探测,发送指令前先检查本地ARP缓存,若已存在对应的缓存项则不发送对应ARP指令。对于移动终端,结合使用UDP随机发送数据包来刷新ARP缓存,从路由表中检测有效的网络邻居。

(二)路由发现

客户端使用TTL、IP Option、SNMP协议探测与自身终端公网出口路由设备信息

客户端随机选择TTL、IP Option两种方法中的一种进行路由发现探测,探测之前应先进行终端协同,若已有其它终端使用该方法探测过则放弃本次探测。

TTL:Time to Live,生存時间,表示允许数据报保留在internet系统中的最长时间。TTL在通信系统中递减,当值为0时网络设备将对应数据包丢弃处理。

Options:可用于扩展定义安全扩展,实现特殊用途。选项字段长度可变,可能有零或多个选项。Options 已定义Record Route选项,可用于记录报文路由。

通过递增设置TTL的方法,逐层探测链路的路由器地址。通过在IP头中增加Record route options字段内容的方法,让路由器回填自身地址以达到路由发现探测的目标。客户端解析返回的数据并形成路由链。使用SNMP协议获取路由器的设备型号信息,仅需要读取设备型号信息用于生成网络拓扑信息

(三)负载均衡

基于网关IP信息和内网IP信息,对相同子网内IP进行探测,通过地址分组实现探测负载均衡,可实现探测策略的统一调度控制。

对于C类子网,每8个或16个地址分为一组,每个终端每次随机探测一组。探测之前应先进行终端协同,若该组已有其它终端探测过则选择另外一组。

(四)终端协同

同一子网内的客户端以协同、互补的方式进行网络拓扑探测,避免在同一台终端上消耗过多的计算能力。每台终端每次仅探测小段网络内的设备信息,多台终端共同组成完整的子网网络拓扑信息。客户端支持以UDP多播的方式进行终端协同,减少数据包发送数量。

邻居发现协同报文定义:

tag:协议标识,固定取值为“NBR”(不包含双引号,大写字符,ASCII编码),24bits。

ver:协议版本号,8bits无符号数,当前取值:0x01。

code:消息类型,8bits无符号数,指定当前报文的类型,0x01表示邻居发现协同报文。

prop:IP协议类型,8bits无符号数,0x04表示IPv4协议;0x06表示IPv6协议。

mask:子网掩码,8bits无符号数,以掩码有效位长度的形式表示,例如:255.255.255.0表示为24(0x18)。

group:分组ID,8bits无符号数,表示当前分组的ID,0表示XXX.XXX.XXX.0~ XXX.XXX.XXX.7;1表示XXX.XXX.XXX.8~ XXX.XXX.XXX.15;依此类推。

gateway:网关IP地址,二进制形式表示,IPv4为32bits;IPv6为128bits,网络字节顺序。

target:探测目标地址,二进制形式表示,IPv4为32bits;IPv6为128bits,网络字节顺序。最后一个字节使用group字段的内容。

路由发现协同报文定义:

tag:协议标识,固定取值为“RTC”(不包含双引号,大写字符,ASCII编码),24bits。

ver:协议版本号,8bits无符号数,当前取值:0x01。

code:消息类型,8bits无符号数,指定当前报文的类型,0x02表示路由发现协同报文。

prop:IP协议类型,8bits无符号数,0x04表示IPv4协议;0x06表示IPv6协议。

mask:子网掩码,8bits无符号数,以掩码有效位长度的形式表示,例如:255.255.255.0表示为24(0x18)。

method:探测方法,8bits无符号数,0x01表示TTL探测方法;0x02表示IP Option探测方法。

gateway:网关IP地址,二进制形式表示,IPv4为32bits;IPv6为128bits,网络字节顺序。

target:探测目标地址,二进制形式表示,IPv4为32bits;IPv6为128bits,网络字节顺序。最后一个字节使用group字段的内容。

三、网络拓扑分析

客户端根据内网IP以及公网IP信息确定所属学校网,并且客户端内置终端唯一ID生成和识别终端设备,基于设备身份和网络身份ID,可以对网络拓扑数据进行分类管理。基于客户端探测到的网络邻居以及路由信息,进行分级编号,基于IP地址关联分析,可以对采集的校园大规模终端拓扑检测数据进行分析,形成初步的校园网拓扑关系。基于校园网拓扑数据,进一步分析网络中的异常行为,识别出可疑的改装路由器。

(一)网络拓扑模型的建立

校园网网络拓扑主要分为4层,如图2、3所示,包括接入终端、交换机、网络出口等,个别有5、6层。根据探测的路由链形成分级路由,根据分级进行编号。

分级记录的数据包括:校园ID、层级ID、IP地址、设备类型、上层IP、下层IP、更新时间。根据数据分析,可形成网络拓扑图,如图4所示。

(二)网络拓扑动态分析

网络拓扑数据根据接入终端的类型、时间、数量的变化而变化,而正常情况下拓扑的层级基本不变。网络拓扑的分析基于终端的接入位置变化进行动态分析,包括接入网关的变化,接入层级的变化,以及网络邻居的变化,通过数据分析可以发现不同的用户行为模式。

(三)孤立点分析

基于校园网使用非法改装路由器的调查分析,可以确定改装路由器基本上是接入到网络拓扑的孤立点(参考上图3、4),为了更全面发现异常行为,需要对网络拓扑数据进行孤立点分析。传统的孤立点挖掘算法主要包括四类算法基于统计的方法,基于距离的方法,基于密度的方法,基于偏离的方法和基于聚类的挖掘算法。根据校园网的特点,主要结合基于统计的方法和基于聚类的挖掘算法进行分析,发现孤立点。

(四)终端特征指纹

任何终端均有个性化的特征,本文主要是基于网络协议请求响应的TTL以及时延特征采集,形成终端指纹信息。客户端拨号前以及拨号后,访问网关的响应性能有细微的差异,通过记录该差异并分析,形成终端特征指纹,并将编码信息上报到服务器。服务器可综合分析,进一步提升检测准确性。

四、结束语

本文提出的非法改装无线路由器检测技术,通过客户端软件与服务端配合,通过客户端检测、协同以及终端特征指纹采集,在服务端进行综合分析,可将检测非法改装无线路由器检测准确性提高到90%以上,結合其他手段可以进一步提高准确性。系统实现负载均衡以及终端协同,可有效实现单终端少量采集满足大规模网络拓扑探测的需求。系统已实现原型并在校园网环境测试,本文检测技术成果自2020年9月1起在某省份校园网推广,支撑220+所学校,进行115000+次后台分析,发现非法改装路由器8000+台,通过平台进行拦截封堵非实名制上网行为200万+次,取得较佳效果,在保障实名制上网安全的同时,每年间接拉动业务收入超过2000万元。本系统技术的原理实现(客户端探测功能以及服务端分析功能)以及校园网测试结果证明了该检测技术的可实施性,能够满足校园网络的实名制管理和非法串接行为监测。此外,本系统同样适用于其他大型园区网络的管理和监控。

作者单位:吴淼 中国电信股份有限公司广东分公司

龙茂华 中数通信息有限公司

李博 国家计算机网络应急技术处理协调中心广东分中心

参  考  文  献

[1]张勇,张德运,李钢. 网络拓扑发现的主动探测技术的研究和实现[J]. 小型微型计算机系统,2000,21(8):792-794.

[2]赵玲. 网络拓扑发现算法的研究[D].吉林大学,2011.

[3]季伟东.网络管理系统中拓扑发现的研究[D].哈尔滨理工大学,2004.

[4]陈旭.基于园区网的网络拓扑自动发现[D].太原理工大学,2003.

[5]刘荘.简单网络管理协议(SNMP)在校园网管理中的研究与应用[D].北京化工大学,2003.

[6]高长寿.IP网络分布式拓扑自动发现技术研究[D].武汉理工大学,2005.

[7]刘杰.多级网络拓扑发现技术研究[D].四川大学,2004.

[8]黄永平.孤立点分析方法在计算机审计中的应用[J].审计研究,2006(S1):86-89.

吴淼(1988.09.18-),女,汉族,山西大同,硕士,中级通信工程师,研究方向:中国电信股份有限公司广东分公司固网、政企宽带业务支撑;

龙茂华(1976.04.13-),男,汉族,广东高州,学士,高级系统架构设计师,研究方向:网络安全技术、移动互联网应用技术;

李博(1988.10.20-),男,汉族,河北石家庄,硕士,工程师,研究方向:网络信息安全工作。

 

作者:吴淼 龙茂华 李博 合作媒体:中国新通信 编辑:顾北

 

 

 
 热点技术
普通技术 网络认知对抗的中文学术研究历史演进研究
普通技术 境外认知战作战力量及技术装备综述
普通技术 我国当前面临的主要网络认知威胁分析
普通技术 提升工业和硬件安全!我国牵头提出的两项网安国际标准发布
普通技术 6G通信感知一体化网络的感知算法研究与优化
普通技术 多地址的时间型区块链隐蔽通信方法研究
普通技术 基于CHAN 的改进卡尔曼滤波室内定位算法
普通技术 基于吸收马尔可夫链攻击图的网络攻击分析方法研究
普通技术 短波通信接入网广域协作资源分配算法
普通技术 基于子载波补给索引调制的OFDM 传输方案
普通技术 基于随机Transformer 的多维时间序列异常检测模型
普通技术 面向高混响环境的欠定卷积盲源分离算法
普通技术 移动边缘计算网络下基于静态贝叶斯博弈的入侵响应策略研究
普通技术 基于IRS辅助的MIMO车联网系统联合波束成形设计
普通技术 基于IOC-CSMP 的OFDM 系统稀疏信道快速重构算法
普通技术 频控阵MIMO雷达的目标数与方位参数联合估计方法
普通技术 SPS 结构大规模S 盒设计与分析
普通技术 意图抽象与知识联合驱动的6G 内生智能网络架构
普通技术 软件定义网络抗拒绝服务攻击的流表溢出防护
普通技术 数据安全中台构筑企业数据生命线
  版权与免责声明: ① 凡本网注明“合作媒体:通信界”的所有作品,版权均属于通信界,未经本网授权不得转载、摘编或利用其它方式使用。已经本网授权使用作品的,应在授权范围内使用,并注明“来源:通信界”。违反上述声明者,本网将追究其相关法律责任。 ② 凡本网注明“合作媒体:XXX(非通信界)”的作品,均转载自其它媒体,转载目的在于传递更多信息,并不代表本网赞同其观点和对其真实性负责。 ③ 如因作品内容、版权和其它问题需要同本网联系的,请在一月内进行。
通信视界
吴春波:华为如何突破美国6次打压的逆境?
刘烈宏:以数字化网络化智能化助力数字经济与
普通对话 高通中国区董事长孟樸:5G与AI结合,助力提升
普通对话 雷军发布小米年度演讲:坚持做高端,拥抱大模
普通对话 闻库:算网融合正值挑战与机遇并存的关键阶段
普通对话 工信部副部长张云明:我国算力总规模已居世界
普通对话 邬贺铨:我国互联网平台企业发展的新一轮机遇
普通对话 张志成:继续加强海外知识产权保护工作 为助力
普通对话 吴春波:华为如何突破美国6次打压的逆境?
普通对话 刘烈宏:以数字化网络化智能化助力数字经济与
普通对话 消息称微软将把OpenAI人工智能技术整合至Offi
普通对话 中国电信董事长柯瑞文:数字科技引领新消费
普通对话 中国移动董事长杨杰出席GSMA创新论坛并作主旨
普通对话 中国信科何书平:“一体两翼”大力支撑数字政
普通对话 中兴徐子阳:泛在协同,筑“算网”坦途
普通对话 中国移动陈国:智慧中台对外输出数百项高价值
普通对话 中兴通讯总裁徐子阳:数贯东西,融达天下,共
通信前瞻
亨通光电实践数字化工厂,“5G+光纤”助力新一
邬贺铨院士解读ChatGPT等数字技术热点
普通对话 亨通光电实践数字化工厂,“5G+光纤”助力新一
普通对话 中科院钱德沛:计算与网络基础设施的全面部署
普通对话 工信部赵志国:我国算力总规模居全球第二 保持
普通对话 邬贺铨院士解读ChatGPT等数字技术热点
普通对话 我国北方海区运用北斗三号短报文通信服务开展
普通对话 华为云Stack智能进化,三大举措赋能政企深度用
普通对话 孟晚舟:“三大聚力”迎接数字化、智能化、低
普通对话 物联网设备在智能工作场所技术中的作用
普通对话 软银研发出以无人机探测灾害被埋者手机信号的
普通对话 AI材料可自我学习并形成“肌肉记忆”
普通对话 北斗三号卫星低能离子能谱仪载荷研制成功
普通对话 为什么Wi-Fi6将成为未来物联网的关键?
普通对话 马斯克出现在推特总部 收购应该没有悬念了
普通对话 台积电澄清:未强迫员工休假或有任何无薪假计
普通对话 新一代载人运载火箭发动机研制获重大突破