基于可信交换机的生成树协议的攻击检测方法

摘要

本发明是一种基于可信交换机的生成树协议提出的攻击检测方法。它利用内部监控模块对由交换机自身引发的攻击行为进行监控，利用外部防护模块对来自交换机外部的攻击威胁进行检测，从而实现生成树协议的全面攻击检测。本方法首先按照交换机在不同阶段等待不同网桥协议数据单元（BPDU）的情况，画出状态图，根据状态转移条件对交换机整体运行行为进行监控，以检测设备自身发起的攻击行为。然后，对来自外部的BPDU进行分类，采用定时器并计数的方法对泛洪攻击进行检测。最后，在收到BID小于当前根BID的BPDU时，发送探测包对目标交换机进行合法性验证，若为根网桥，还需进行自我评估后决定是否更换根桥，以此检测根接管攻击。