TWI836279B - 網路封包處理裝置及網路封包處理方法 - Google Patents

Abstract

一種網路封包處理裝置，包含處理單元、作業系統及分析單元。處理單元電性連接於網路介面卡。作業系統用以配合處理單元，將控制網路介面卡處於混雜模式，以自網際網路中接收資料封包。分析單元用以由該網路界面卡取得資料封包，且用以解析資料封包內的目的位址。分析單元還包含複數個蜜罐單元，且儲存有對應於該些蜜罐單元的複數個蜜罐位址。在分析單元判斷資料封包之目的位址對應於該些蜜罐位址的其中之一時，分析單元用以選擇性地以該些蜜罐位址的其中之一或預設位址發送回應訊息。

Description

網路封包處理裝置及網路封包處理方法

本揭示內容關於一種網路封包處理裝置及方法，特別是透過網路卡接收資料封包，並產生回應訊息之技術。

隨著科技的發展，網路通訊技術被廣泛應用於人們的生活中，且人們對於網路通訊的需求亦日益增加。相對的，網路通訊的安全性也日益重要。如何有效防禦網路攻擊，乃成為現今網際網路技術的重要課題。

本揭示內容係關於一種網路封包處理裝置，包含處理單元、作業系統及分析單元。處理單元電性連接於網路介面卡。作業系統用以配合處理單元，將控制網路介面卡處於混雜模式，以自網際網路中接收資料封包。分析單元用以由網路介面卡取得資料封包，且用以解析資料封包內的目的位址。分析單元還包含複數個蜜罐單元，且儲存有對應的複數個蜜罐位址。在分析單元判斷資料封包之目的位址對應於該些蜜罐位址的其中之一時，分析單元用以選擇性地以該些蜜罐位址的其中之一或預設位址發送回應訊息。

本揭示內容還關於一種網路封包處理方法，包含下列步驟：透過處理單元及作業系統，將網路介面卡設定於混雜模式，以自網際網路中接收資料封包；透過分析單元，解析資料封包的目的位址，其中分析單元包含複數個蜜罐單元，且儲存有對應於該些蜜罐單元的複數個蜜罐位址；在資料封包的目的位址對應於該些蜜罐位址的其中之一時，將資料封包傳送給對應於該些蜜罐位址的其中之一的蜜罐單元；以及選擇性地以該些蜜罐位址的其中之一或預設位址發送一回應訊息。

本揭示內容還關於一種網路封包處理裝置，包含處理單元、作業系統及分析單元。處理單元電性連接於網路介面卡。作業系統用以配合處理單元，控制網路介面卡處於混雜模式，以自網際網路中接收資料封包。分析單元用以接收資料封包。分析單元還包含複數個蜜罐單元，且用以儲存有對應於該些蜜罐單元的複數個蜜罐位址，在分析單元判斷資料封包對應於該些蜜罐位址的其中之一時，分析單元根據該些蜜罐位址的其中之一的回應設定條件，判斷是否以預設位址發送回應訊息。

由於網路封包處理裝置係透過處理單元運行作業系統驅動網路介面卡，進而接收資料封包給分析單元，因此，分析單元無須針對每個蜜罐單元安裝對應的作業系統，以有效改善網路封包處理裝置的建構成本。

以下將以圖式揭露本發明之複數個實施方式，為明確說明起見，許多實務上的細節將在以下敘述中一併說明。然而，應瞭解到，這些實務上的細節不應用以限制本發明。也就是說，在本發明部分實施方式中，這些實務上的細節是非必要的。此外，為簡化圖式起見，一些習知慣用的結構與元件在圖式中將以簡單示意的方式繪示之。

於本文中，當一元件被稱為「連接」或「耦接」時，可指「電性連接」或「電性耦接」。「連接」或「耦接」亦可用以表示二或多個元件間相互搭配操作或互動。此外，雖然本文中使用「第一」、「第二」、…等用語描述不同元件，該用語僅是用以區別以相同技術用語描述的元件或操作。除非上下文清楚指明，否則該用語並非特別指稱或暗示次序或順位，亦非用以限定本發明。

第1圖所示為根據本揭示內容之部份實施例的網路封包處理裝置100之示意圖。網路封包處理裝置100包含處理單元110、網路介面卡120、作業系統130及分析單元140。處理單元110電性連接於網路介面卡120，用以配合作業系統130，控制網路介面卡120以接收網際網路傳來的資料，或者將資料透過網路介面卡120傳送至網際網路。

處理單元110用以執行各種運算，且可以被實施為微控制單元(microcontroller)、微處理器(microprocessor)、數位訊號處理器(digital signal processor)、特殊應用積體電路(application specific integrated circuit，ASIC)、中央處理器(central processing unit, CPU)、系統單晶片(System on Chip, SoC)或特定功能的處理晶片或控制器。

在部份實施例中，作業系統130係安裝於網路封包處理裝置100中之資料儲存單元（圖中未示）。資料儲存單元電性連接於處理單元110，可以被實作為唯讀記憶體、快閃記憶體、硬碟、隨身碟、可由網路存取之資料庫或熟悉此技藝者可輕易思及具有相同功能之儲存媒體。

處理單元110用以執行作業系統130，以管理網路封包處理裝置100中的硬體（處理器、記憶體、網路卡等）、決定系統資源供需、控制輸入與輸出裝置等基本事務。同時，作業系統130也可提供一個讓使用者與網路封包處理裝置100互動的操作介面。在一實施例中，作業系統130之架構可包含硬體抽象層、系統服務層、子系統層等。其中系統服務層提供所有統一規格的函式呼叫庫，子系統層則位於系統服務層之上，屬於使用者模式，可以避免使用者程式執行非法行動。

在一實施例中，分析單元140可為一種預先建構之資料庫的分析程式。在其他實施例中，分析單元140可為設置於網路封包處理裝置100之韌體、運算晶片或電路。分析單元140可儲存於網路封包處理裝置100中之資料儲存單元，亦可為安裝於作業系統130中之應用程式，或屬於作業系統之一部分。在其他部份實施例中，作業系統130包含系統服務層，分析單元140設置/安裝於系統服務層之上層。

如第1圖所示，分析單元140包含分析模組141及複數個蜜罐單元H1～Hn，且其內儲存有回應表T（如：儲存於記憶體）。在一實施例中，分析模組141為分析單元140中一種預先建構之運作程式，用以對接收到的資料進行分析，例如：分析一個封包或訊框的內部數據與組成。回應表T內儲存有對應於該些蜜罐單元H1～Hn的多個蜜罐位址，該蜜罐單元H1～Hn亦可由獨立的應用程式來實現，並獨立地連接於分析單元140。換言之，以應用程式來實現之蜜罐單元可由其他硬體設備驅動，而不限於網路封包處理裝置100中之分析單元140。蜜罐位址可至少包含網際協定位址（IP位址）、媒體存取控制位址（MAC位址）、完整網域名稱（Fully Qualified Domain Name，FQDN）或傳輸埠代碼等各類參數的至少一者。在部份實施例中，回應表T可包含第一蜜罐位址T1、第二蜜罐位址T2，第一蜜罐位址T1可為IP位址、第二蜜罐位址T2則可為MAC位址。

本揭示內容之網路封包處理裝置100係用以建構「誘捕系統」。蜜罐（Honeypot）是一種特別被設計有安全漏洞，但被嚴密監控的網路主機，用以吸引入侵者（攻擊者、駭客）攻擊。蜜罐會在入侵者攻擊的過程中，記錄攻擊行爲和數據，並對入侵者進行追蹤與取證。由於本領域人士能理解蜜罐的建構方式與運作原理，故在此不另贅述。

蜜罐可為實體裝置，亦可為一種由軟體產生之虛擬裝置。在部份技術中，無論是實體裝置或虛擬裝置皆需要獨立安裝一個作業系統，以能使入侵者認為蜜罐為真實的攻擊目標（如：終端裝置、通訊裝置、機械手臂等）。

在本實施例中，蜜罐單元H1～Hn同樣具有用以紀錄、追蹤攻擊者的邏輯模組與功能模組，但並不需要安裝獨立的作業系統。處理單元110會統一透過作業系統130與網路介面卡120，為蜜罐單元H1～Hn發送及接收資料封包，因此分析單元140無須針對每一個蜜罐單元H1～Hn設置完整的作業系統。

在網路封包處理裝置100透過網路介面卡120及作業系統130接收到網際網路傳來的資料封包時，處理單元110將資料封包傳給分析單元140。分析單元140由網路介面卡120取得資料封包，並透過分析模組141，判斷資料封包是否對應於回應表T中的任一個蜜罐位址。具體而言，分析模組141先解析出資料封包內的一個目的位址，再判斷該目的位址是否與任一個蜜罐位址相對應。在一實施例中，目的位址係指OSI (open system interconnection，開放式系統連結)七層架構中第2層（資料鏈結層）及第3層（網路層）的來源位址，例如前述之IP位址與MAC位址。

在分析模組141判斷資料封包之目的位址對應於其中一個蜜罐位址時，若分析模組141進一步判斷需要回應此資料封包，則分析模組141將選擇性地根據此蜜罐位址，或者一個預設位址來產生回應訊息。分析模組141將透過處理單元110及網路介面卡120，以該蜜罐位址或預設位置發送回應訊息。據此，由於網路封包處理裝置100係透過處理單元110運行作業系統驅動網路介面卡，進而接收資料封包給分析模組141，因此，分析模組141無須針對每個蜜罐單元H1～Hn安裝對應的作業系統，以有效改善網路封包處理裝置100的建構成本。

第2圖所示為根據本揭示內容之部份實施例之網路封包處理方法的流程圖。在步驟S201中，處理單元110透過作業系統130控制網路介面卡120，以將網路介面卡120設定為混雜模式（Promiscuous mode）。在網路介面卡120處於混雜模式時，網路介面卡120會接收所有傳輸至網路封包處理裝置100的資料封包，即便資料封包的目的位址並非網路封包處理裝置100。

在步驟S202中，處理單元110透過網路介面卡120，將接收到的資料封包傳給分析單元140。分析單元140判斷資料封包是否對應於多個蜜罐位址的任一個、或者是否對應於多個蜜罐單元的任一個。

若資料封包並未對應於任一個蜜罐位址，在步驟S203中，分析單元140之分析模組141會判斷是否需要回覆。若分析模組141判斷需要回覆，則分析模組141將產生錯誤訊息，處理單元110會將錯誤訊息回傳至網際網路。

在部份實施例中，在資料封包並未對應於任一個蜜罐位址、或者資料封包的格式有錯誤時，分析單元140可使用一組虛擬位址來發送錯誤訊息。此一方式可透過作業系統中的實體驅動程式來回應，以確保資源利用效率。

在步驟S204中，若資料封包確實對應到其中一個蜜罐位址，則分析模組141將資料封包傳送至對應於該蜜罐位址的蜜罐單元。舉例而言，若資料封包內的目標位址為「Add1a」，對應於回應表T中蜜罐單元H1的第一蜜罐位址T1，則分析模組141將資料封包傳送至蜜罐單元H1。在步驟S205中，接收到資料封包之蜜罐單元H1會根據資料封包的類型及/或內容，產生對應的回應訊息，並將回應訊息回傳給分析模組141。

在步驟S206中，分析模組141判斷是否根據預設位址來發送回應訊息，或者判斷蜜罐單元H1是否有指定回應訊息時所使用之位址。「預設位址」係用以模擬防火牆，在網路封包處理裝置100以預設位址回傳回應訊息的情況下，入侵者接收到回應訊息時，將會認為蜜罐單元處於一個防火牆後，因此訊息是以防火牆的位址來回應。

若分析模組141判斷要以預設位址來發送回應訊息，或者蜜罐單元並未指定回應訊息要使用之位址，在步驟S207中，分析模組會透過處理單元110、作業系統130及網路介面卡120，以預設位址發送回應訊息。

若分析模組141判斷不需根據預設位址來發送回應訊息，或者蜜罐單元已指定要以特定位址（即，對應之蜜罐位址）傳送回應訊息，則在步驟S208中，分析模組會透過處理單元110、作業系統130及網路介面卡120，以回應表中對應的蜜罐位址發送回應訊息。換言之，分析模組141選擇性地以蜜罐位址或預設位址發送回應訊息。

在一實施例中，回應表T內還可儲存多筆回應設定條件，每一個回應設定條件係分別對應至一個蜜罐單元H1～Hn。每一個回應設定條件設定了對應之蜜罐單元H1～Hn接收到資料封包時，所應回覆的方式。換言之，分析模組141可根據回應表T內之回應設定條件，確認前述步驟S206的判斷結果。回應設定條件係根據每個蜜罐單元H1～Hn所模擬的裝置類型而產生，例如：若蜜罐單元H1～Hn係模擬一個生產線上的機器手臂，且機器手臂的管理網路通常有防火牆保護，則該蜜罐單元H1～Hn的回應設定條件將會為「當蜜罐單元H1～Hn模擬防火牆後的機器手臂時，以預設位址回應」，以確保回應訊息能使入侵者誤以為成功攻擊了一個防火牆後的裝置。

在一實施例中，本揭示內容之網路封包處理裝置100係將分析單元140安裝於作業系統，且以軟體模擬方式設置蜜罐單元。據此，在虛擬的蜜罐單元需回應訊息時，可統一透過實體的驅動程式，由作業系統130進行回應，具有較佳的資源利用率。

前述各實施例中的各項元件、方法步驟或技術特徵，係可相互結合，而不以本揭示內容中的文字描述順序或圖式呈現順序為限。

雖然本揭示內容已以實施方式揭露如上，然其並非用以限定本揭示內容，任何熟習此技藝者，在不脫離本揭示內容之精神和範圍內，當可作各種更動與潤飾，因此本揭示內容之保護範圍當視後附之申請專利範圍所界定者為準。

100:網路封包處理裝置 110:處理單元 120:網路介面卡 130:作業系統 140:分析單元 141:分析模組 T:回應表 T1:第一蜜罐位址 T2:第二蜜罐位址 H1-Hn:蜜罐單元 S201-S208:步驟

第1圖為根據本揭示內容之部份實施例之網路封包處理裝置的示意圖。 第2圖為根據本揭示內容之部份實施例之網路封包處理方法的流程圖。

國內寄存資訊(請依寄存機構、日期、號碼順序註記) 無 國外寄存資訊(請依寄存國家、機構、日期、號碼順序註記) 無

S201-S208:步驟

Claims (17)

1. 一種網路封包處理裝置，包含：一處理單元，電性連接於一網路介面卡；一作業系統，用以配合該處理單元，控制該網路介面卡處於一混雜模式，以自網際網路中接收一資料封包；以及一分析單元，用以由該網路介面卡取得該資料封包，且用以解析該一資料封包內的一目的位址，其中該分析單元還包含複數個蜜罐單元，且儲存有對應的複數個蜜罐位址，在該分析單元判斷該資料封包之該目的位址對應於該些蜜罐位址的其中之一時，該分析單元用以選擇性地以該些蜜罐位址的其中之一或一預設位址發送一回應訊息，其中該預設位址用以模擬一防火牆，以及當該分析單元選擇不根據該預設位址發送該回應訊息時，該分析單元用以根據該些蜜罐位址的其中之一發送該回應訊息；其中該分析單元安裝於該作業系統，且該處理單元透過該作業系統及該網路介面卡為該些蜜罐單元接收該資料封包。
2. 如請求項1所述之網路封包處理裝置，其中該分析單元還包含儲存有該等蜜罐位址的一回應表，該分析單元根據該回應表內之一回應設定條件，決定以該些蜜罐位址的其中之一或該預設位址發送該回應訊息。
3. 如請求項1所述之網路封包處理裝置，其中 該分析單元安裝於該作業系統。
4. 如請求項1所述之網路封包處理裝置，其中該作業系統包含一系統服務層，該分析單元設置於該系統服務層的上層。
5. 如請求項1所述之網路封包處理裝置，其中該些蜜罐位址的其中之一至少包含一網際協定位址、一媒體存取控制位址或一傳輸埠代碼的其中之一。
6. 如請求項1所述之網路封包處理裝置，其中在該分析單元判斷該資料封包之該目的位址並未對應於該些蜜罐位址的其中之一時，該分析單元產生一錯誤訊息。
7. 一種網路封包處理方法，包含：透過一處理單元及一作業系統，將一網路介面卡設定於一混雜模式，以自網際網路中接收一資料封包；透過一分析單元，解析該資料封包的一目的位址，其中該分析單元包含一回應表，且儲存有對應於複數個蜜罐單元的複數個蜜罐位址；在該資料封包的該目的位址對應於該些蜜罐位址的其中之一時，根據該分析單元儲存之一回應設定條件，判斷是否以該些蜜罐位址的其中之一或一預設位址發送一回應訊息，其中該預設位址用以模擬一防火牆；以及 當該分析單元判斷不根據該預設位址發送該回應訊息時，該分析單元用以根據該些蜜罐位址的其中之一發送該回應訊息。
8. 如請求項7所述之網路封包處理方法，其中該分析單元安裝於該作業系統。
9. 如請求項7所述之網路封包處理方法，其中該作業系統包含一系統服務層，該分析單元設置於該系統服務層的上層。
10. 如請求項7所述之網路封包處理方法，其中該些蜜罐位址的其中之一至少包含一網際協定位址、一媒體存取控制位址或一傳輸埠代碼的其中之一。
11. 如請求項7所述之網路封包處理方法，還包含：在該資料封包的該目的位址並未對應於該些蜜罐位址的其中之一時，產生一錯誤訊息。
12. 一種網路封包處理裝置，包含：一處理單元，電性連接於一網路介面卡；一作業系統，用以配合該處理單元，控制該網路介面卡處於一混雜模式，以自網際網路中接收一資料封包；以及 一分析單元，用以接收該資料封包，其中該分析單元還包含複數個蜜罐單元，且用以儲存有對應於該些蜜罐單元的複數個蜜罐位址，在該分析單元判斷該資料封包對應於該些蜜罐位址的其中之一時，該分析單元根據該些蜜罐位址的其中之一的一回應設定條件，判斷是否以一預設位址發送一回應訊息，其中當該分析單元根據該預設位址發送該回應訊息時，該預設位址用以模擬一防火牆，以及該分析單元判斷不根據該預設位址發送該回應訊息時，該分析單元用以根據該些蜜罐位址的其中之一發送該回應訊息。
13. 如請求項12所述之網路封包處理裝置，其中該分析單元用以判斷該資料封包之一封包位址是否對應於該些蜜罐位址，以判斷該資料封包是否對應於該些蜜罐位址的其中之一。
14. 如請求項12所述之網路封包處理裝置，其中該分析單元安裝於該作業系統。
15. 如請求項12所述之網路封包處理裝置，其中該作業系統包含一系統服務層，該分析單元設置於該系統服務層的上層。
16. 如請求項12所述之網路封包處理裝置，其 中該些蜜罐位址的其中之一至少包含一網際協定位址、一媒體存取控制位址或一傳輸埠代碼的其中之一。
17. 如請求項12所述之網路封包處理裝置，其中在該分析單元判斷該資料封包並未對應於該些蜜罐位址的其中之一時，該分析單元產生一錯誤訊息。

Images