面向误配置的域间前缀劫持检测方法

摘要

本发明提供一种在包含有至少一个自治系统的网络系统中面向误配置的域间前缀劫持检测方法；所述自治系统包括监测探针，所述监测探针包含有用于存储所在自治系统中的前缀信息的网络前缀信息列表；该方法包括：所述监测探针获取本自治系统向外发送的路由更新报文；分析所述路由更新报文的各个条目，对添加类型的条目执行下一步；对已经存在于所述网络前缀信息列表且前缀信息完全一致的条目，不做额外操作，直接处理路由更新报文中的下一条目；对不存在于网络前缀信息列表中或虽然存在于网络前缀信息列表中但前缀信息存在冲突的条目，主动探测该条目的合法性；根据合法的添加类型的条目对所述网络前缀信息列表进行更新。本发明能够避免误配置现象的发生，维护网络安全。

主权项

一种网络系统，包括至少一个自治系统，其特征在于，所述自治系统包括边界路由器和监测探针；其中，所述监测探针包括有用于存储所在自治系统中的前缀信息的网络前缀信息列表；所述监测探针获取边界路由器发出的路由更新报文后，分析路由更新报文中的条目，并将该条目中的前缀信息与网络前缀信息列表中的前缀信息进行比较；根据比较结果需要对网络前缀信息列表中的前缀信息进行添加或撤销前，主动检测相关条目的合法性；其中，对于撤销类型的条目，在所述网络前缀信息列表中查找该条目所包含的所要撤销的前缀信息，若能找到，就表示该条目合法，从所述网络前缀信息列表删除该条目的前缀信息，否则，发出报警信息；对于添加类型的条目，对已经存在于所述网络前缀信息列表且前缀信息完全一致的条目，不做额外操作，直接处理路由更新报文中的下一条目；对不存在于网络前缀信息列表中或虽然存在于网络前缀信息列表中但前缀信息存在冲突的条目，主动探测该条目的合法性，具体包括：根据条目的前缀信息中的IP起始地址与网络掩码，生成待检测队列；从所述待检测队列中依次取出IP地址，利用ping技术进行探测，并对探测出的结果进标记，得到结果队列；根据所述结果队列中所包含正确回应的个数确定添加类型的条目中的前缀信息是否合法；所述监测探针包括前缀规则库管理模块、路由更新报文采集模块、前缀劫持攻击检测模块、告警模块；其中，所述的前缀规则库管理模块用于实现前缀信息规则库的创建、更新工作；所述的路由更新报文采集模块用于实现对所在自治系统的边界路由器BGP更新报文的采集工作；所述的前缀劫持攻击检测模块用于对误配置所带来的前缀劫持问题进行检测；所述的告警模块用于发出告警信息来将存在问题的前缀信息通知管理员。