使用 Python 代码检测 ARP 攻击：详细代码分析

使用 Python 代码检测 ARP 攻击：逐行代码分析

这段 Python 代码旨在通过分析网络流量中的 ARP 数据包来检测潜在的 ARP 攻击。让我们逐行分解代码，了解其工作原理：

if arp_req_count.get(ip) and len(arp_req_count[ip]) > 10:
    if len(set(arp_req_count[ip])) == 1:
        suspicious_hosts.append(ip)
        logging.warning('ARP attack detected: same IP address with large amount of ARP requests - IP: %s, MAC: %s' % (ip, mac))
        continue
if arp_rep_count.get(ip) and len(arp_rep_count[ip]) > 10:
    if len(set(arp_rep_count[ip])) == 1:
        suspicious_hosts.append(ip)
        logging.warning('ARP attack detected: same IP address with large amount of ARP responses - IP: %s, MAC: %s' % (ip, mac))
        continue

代码解释:

if arp_req_count.get(ip) and len(arp_req_count[ip]) > 10:: 这行代码检查 arp_req_count 字典中是否存在当前 IP 地址 (ip)，并判断该 IP 地址对应的 ARP 请求数量是否超过 10 个。 arp_req_count 应该存储了每个 IP 地址及其对应的 ARP 请求次数。
if len(set(arp_req_count[ip])) == 1:: 这行代码进一步检查与该 IP 地址相关联的 MAC 地址是否唯一。它通过将所有 MAC 地址放入一个集合 (set) 中来实现。如果集合中只有一个元素，则说明所有 ARP 请求都来自同一个 MAC 地址。
suspicious_hosts.append(ip): 如果以上两个条件都满足，则将当前 IP 地址添加到 suspicious_hosts 列表中，因为它表现出潜在的 ARP 攻击行为。
logging.warning('ARP attack detected: same IP address with large amount of ARP requests - IP: %s, MAC: %s' % (ip, mac)): 记录一条警告消息，指示检测到可能的 ARP 攻击。消息中包含可疑 IP 地址和相关联的 MAC 地址。
continue: 跳过当前循环迭代的剩余代码，并继续处理下一个 IP 地址。
if arp_rep_count.get(ip) and len(arp_rep_count[ip]) > 10:: 这行代码与第 1 行类似，但它检查的是 ARP 响应的数量而不是请求数量。
if len(set(arp_rep_count[ip])) == 1:: 这行代码与第 2 行类似，它检查与 ARP 响应相关联的 MAC 地址是否唯一。
suspicious_hosts.append(ip): 与第 3 行相同，如果检测到可疑活动，则将 IP 地址添加到 suspicious_hosts 列表中。
logging.warning('ARP attack detected: same IP address with large amount of ARP responses - IP: %s, MAC: %s' % (ip, mac)): 记录一条警告消息，指示检测到可能的 ARP 攻击，类似于第 4 行。
continue: 与第 5 行相同，跳过当前循环迭代的剩余代码。

总结:

这段代码通过监控网络流量中来自单个 IP 地址的大量 ARP 请求或响应来检测潜在的 ARP 攻击。如果检测到来自同一个 MAC 地址的大量请求或响应，则认为该活动可疑，并记录相应的警告消息。

这段代码提供了一个基本的 ARP 攻击检测机制。为了提高其有效性，可以考虑添加其他检查，例如检查 ARP 数据包中的 MAC 地址是否与已知设备的 MAC 地址匹配。