SNR S2985G-8T-POE [179/357] Общие сведения о arp spoofing

37. Предотвращение подделки ARP (ARP Spoofing) 179

37. Предотвращение подделки ARP (ARP Spoofing)

37.1 Общие сведения о ARP Spoofing

Протокол ARP отвечает за сопоставление IP-адреса с MAC-адресом. Весь процесс

сопоставления заключается в том, что хост отправляет пакет, содержащий информацию о

требуемом IP-адресе, широковещательно. Другой хост, которому принадлежит требуемый

IP-адрес, отправляет в ответ пакет, содержащий свой IP-адрес и MAC-адрес. Таким

образом два хоста могут обмениваться информацией друг с другом на основе MAC-

адреса.

Для сокращения количества ARP-пакетов в сети, протокол ARP спроектирован

таким образом, что даже если хост не запрашивал ARP другого хоста, при получении

такого пакета он внесет запись в свою таблицу. Поэтому существует возможность

подделки ARP-пакета (ARP Spoofing). Когда злоумышленник хочет перехватить трафик

между двумя хостами, он отправляет ARP-ответы на оба этих хоста по отдельности,

заставляя их принимать свой MAC-адрес за MAC-адреса друг-друга. Таким образом

трафик от одного хоста к другом фактически будет передаваться через хост

злоумышленника, что позволяет ему не только прочитать необходимую информацию, но

и модифицировать пакеты данных на свое усмотрение для последующей передачи.

37.1.1 Отключение обновления без запроса (arp-security)

Основным методом предотвращения ARP Spoofing в сетях является отключение на

коммутаторе возможность автоматического обновления ARP. После этого злоумышленник

не сможет изменить MAC-адрес в ARP-таблице. В то же время это не прерывает функцию

автоматического обучения ARP. Таким образом, это в значительной степени

предотвращает возможность подмены ARP.

37.1.2 ARP Guard

Существует также вероятность подмены злоумышленником адреса шлюза или

коммутатора - в этом случае кроме перехвата трафика данных, существует также

опасность отказа всей сети из-за передачи трафика не по назначению. Для

предотвращения подмены адреса шлюза, возможно использовать функцию ARP Guard.

При получении на порт ARP-ответа с source адресом, указанным в ARP-Guard, это пакет

будет расценен как вредоносный и отброшен.

37.1.3 Рассылка ARP коммутатором без запроса (Gratuitous ARP)

Еще одним из способов предотвращения подмены ARP коммутатора (или шлюза)

является периодическая рассылка коммутатором ARP-ответов без запроса (функция

Gratuitous ARP). С одной стороны это позволяет предотвратить акату, так как хосты

периодически будут обновлять свои ARP-таблицы и вероятность подмены будет низка. С

другой стороны это позволит уменьшить количество исходящего трафика от хостов, так

как не будет необходимости отправлять ARP-запрос шлюзу для обновления ARP-

таблицы.