涉密网可疑设备的“实时”报警策略研究

◆张前 马健 徐发强

（玄武区人民检察院 江苏 210018）

1 前言

在涉密单位的内部局域网上，凡是接入的电子设备，比如电脑、服务器、监控摄像头等，都是需要严格登记和管理的，这些设备不仅需要分配固定IP，指定保密责任人，还会在涉密网交换机端口绑定其MAC 地址，只允许特定的设备上网。这些管理方式可以阻止未登记的电子设备接入涉密网，但不能对非法接入行为进行监测和报警。并且，实际工作中，难免存在管理措施及技术保障落实不到位的情况，那么对这种非法接入涉密网的实时报警就显得十分必要了。

本文基于电子设备接入网络时一定具有其唯一的MAC 地址，并且该MAC 地址可被在线搜索读取的特点，通过编写CMD 搜索程序（即DOS 操作系统的命令程序，其优点是无须编译，在Windows 系统中可以直接运行），实时监测涉密网上的所有电子设备，对比涉密网上的登记在册的MAC 地址清单，对新出现的MAC 进行报警，如果将一个网段的地址进行分段并行搜索，以花费极短的捕获时间，达到“实时”报警的目的。

2 基于MAC 的“无死角”搜索策略

涉密单位的涉密局域网上，非法电子设备必须配置特定网段IP地址，才能访问网络资源，并且其自身MAC 也是全球唯一的，因此，我们可以通过PING 命令“无死角”地扫描涉密网段所有IP，逐个读取其MAC 地址，比对登记在册涉密电子设备MAC 地址清单，如果发现其不在清单中，就可以认定其为新出现的可疑设备，即时报警。

如图1所示，基于MAC 的“无死角”搜索策略的编程思路是：程序自动后台运行；……