Подмена ARP - ARP spoofing

Успешная атака с подменой (отравлением) ARP позволяет злоумышленнику изменить маршрутизация в сети, что позволяет эффективно использовать атаку типа "злоумышленник посередине".

В компьютерная сеть, Подмена ARP, Отравление кеша ARP, или же Ядовитая маршрутизация ARP, это метод, с помощью которого злоумышленник отправляет (подделанный ) Протокол разрешения адресов (ARP) сообщения на локальная сеть. Как правило, цель состоит в том, чтобы связать злоумышленника MAC-адрес с айпи адрес другого хозяин, такой как шлюз по умолчанию, в результате чего любой трафик, предназначенный для этого IP-адреса, вместо этого отправляется злоумышленнику.

Подмена ARP может позволить злоумышленнику перехватить фреймы данных в сети, измените трафик или остановите весь трафик. Часто атака используется как начало для других атак, таких как отказ в обслуживании, человек посередине, или же захват сеанса атаки.[1]

Атака может быть использована только в сетях, использующих ARP, и требует, чтобы злоумышленник имел прямой доступ к локальной сети. сегмент сети быть атакованным.[2]

Уязвимости ARP

В Протокол разрешения адресов (ARP) - широко используемый протокол связи для решения Интернет-уровень обращается к уровень связи адреса.

Когда протокол Интернета (IP) дейтаграмма отправляется с одного хоста на другой в локальная сеть, IP-адрес назначения должен быть преобразован в MAC-адрес для передачи через уровень канала передачи данных.[2] Когда известен IP-адрес другого хоста и требуется его MAC-адрес, широковещательный пакет рассылается по локальной сети. Этот пакет известен как Запрос ARP. Конечный компьютер с IP-адресом в запросе ARP затем отвечает Ответ ARP который содержит MAC-адрес для этого IP.[2]

ARP - это протокол без состояния. Сетевые узлы автоматически тайник любые получаемые ими ARP-ответы, независимо от того, запрашивали ли их сетевые узлы. Даже записи ARP, срок действия которых еще не истек, будут перезаписаны при получении нового пакета ответа ARP. В протоколе ARP нет метода, с помощью которого хост может аутентифицировать одноранговый узел, от которого исходит пакет. Такое поведение является уязвимостью, которая позволяет спуфингу ARP.[1][2]

Анатомия атаки ARP-спуфинга

Основной принцип спуфинга ARP заключается в использовании отсутствия аутентификации в протоколе ARP путем отправки подделанный Сообщения ARP в LAN. Атаки с подменой ARP могут запускаться со скомпрометированного хоста в локальной сети или с машины злоумышленника, подключенной непосредственно к целевой локальной сети.

Злоумышленник, использующий спуфинг ARP, маскируется под хост для передачи данных в сети между пользователями.[3] Тогда пользователи не будут знать, что злоумышленник не является настоящим хостом в сети.[3]

Как правило, цель атаки - связать MAC-адрес хоста злоумышленника с IP-адресом цели. хозяин, так что любой трафик, предназначенный для целевого хоста, будет отправлен на хост злоумышленника. Злоумышленник может выбрать проверку пакетов (шпионаж), перенаправляя трафик в фактическое место назначения по умолчанию, чтобы избежать обнаружения, изменить данные перед их пересылкой (атака "человек посередине" ) или запустить атака отказа в обслуживании вызывая отбрасывание некоторых или всех пакетов в сети.

Защиты

Статические записи ARP

Простейшей формой сертификации является использование статических записей, доступных только для чтения, для критических служб в кэше ARP хоста. Сопоставления IP-адреса с MAC-адресом в локальном кэше ARP можно вводить статически. Хостам не нужно передавать запросы ARP, если такие записи существуют.[4] Хотя статические записи обеспечивают некоторую защиту от спуфинга, они требуют усилий по обслуживанию, поскольку сопоставления адресов для всех систем в сети должны быть сгенерированы и распределены. Это не масштабируется в большой сети, поскольку сопоставление должно быть установлено для каждой пары машин, что приводит к п2-п Записи ARP, которые необходимо настроить при п машины присутствуют; На каждой машине должна быть запись ARP для каждой другой машины в сети; п-1 Записи ARP на каждом из п машины.

Программное обеспечение для обнаружения и предотвращения спуфинга ARP

Программное обеспечение, обнаруживающее спуфинг ARP, обычно полагается на ту или иную форму сертификации или перекрестной проверки ответов ARP. Затем несертифицированные ответы ARP блокируются. Эти методы могут быть интегрированы с DHCP-сервер так что оба динамичный и Статический IP адреса сертифицированы. Эта возможность может быть реализована на отдельных хостах или может быть интегрирована в Коммутаторы Ethernet или другое сетевое оборудование. Наличие нескольких IP-адресов, связанных с одним MAC-адресом, может указывать на атаку с подделкой ARP, хотя существуют законные способы использования такой конфигурации. При более пассивном подходе устройство прослушивает ARP-ответы в сети и отправляет уведомление через электронное письмо при изменении записи ARP.[5]

AntiARP[6] также обеспечивает предотвращение спуфинга на основе Windows на уровне ядра. ArpStar - это модуль Linux для ядра 2.6 и маршрутизаторов Linksys, который отбрасывает недопустимые пакеты, нарушающие сопоставление, и содержит параметр для повторного отравления / лечения.

Некоторая виртуализированная среда, такая как KVM также обеспечивает механизм безопасности для предотвращения подмены MAC-адресов между гостями, работающими на одном и том же хосте.[7]

Кроме того, некоторые адаптеры Ethernet предоставляют функции защиты от спуфинга MAC и VLAN.[8]

OpenBSD пассивно наблюдает за хостами, олицетворяющими локальный хост, и уведомляет в случае любой попытки перезаписать постоянную запись[9]

Безопасность ОС

Операционные системы реагируют по-разному. Linux игнорирует нежелательные ответы, но, с другой стороны, использует ответы на запросы от других машин для обновления своего кеша. Solaris принимает обновления записей только после тайм-аута. В Microsoft Windows поведение кэша ARP можно настроить с помощью нескольких записей реестра в разделе HKEY_LOCAL_MACHINE SYSTEM CurrentControlSet Services Tcpip Parameters, ArpCacheLife, ArpCacheMinReferenceLife, ArpUseEtherSNAP, ArpTRSingleRoute, ArpetAlwaysSourceRoute.[10]

Законное использование

Смотрите также: Прокси-ARP

Методы, которые используются в спуфинге ARP, также могут использоваться для реализации избыточности сетевых сервисов. Например, некоторое программное обеспечение позволяет серверу резервного копирования выдавать бесплатный запрос ARP для замены неисправного сервера и прозрачного резервирования.[11][12] На сегодняшний день известны две компании, которые пытались коммерциализировать продукты, основанные на этой стратегии: Disney Circle.[13] и CUJO. Последний недавно столкнулся с серьезными проблемами со своей стратегией ARP-спуфинга в домах потребителей; теперь они полностью удалили эту возможность и заменили ее DHCP основанная на стратегии.

Спуфинг ARP часто используется разработчиками для отладки IP-трафика между двумя хостами при использовании коммутатора: если хост A и хост B обмениваются данными через коммутатор Ethernet, их трафик обычно невидим для третьего хоста мониторинга M. Разработчик настраивает A должен иметь MAC-адрес M для B, а B должен иметь MAC-адрес M для A; а также настраивает M для пересылки пакетов. M теперь может отслеживать трафик точно так же, как при атаке «человек посередине».

Инструменты

Защита

ИмяОперационные системыGUIСвободныйЗащитаНа интерфейсАктивный пассивныйПримечания
Межсетевой экран Agnitum OutpostWindowsдаНетдаНетпассивный
AntiARPWindowsдаНетдаНетактивный + пассивный
Противоядие[14]LinuxНетдаНет?пассивныйДемон Linux, отслеживает сопоставления, необычно большое количество пакетов ARP.
Арп_Антидот[15]LinuxНетдаНет?пассивныйПатч ядра Linux для версий 2.4.18–2.4.20, отслеживает сопоставления, может определить действие, которое нужно выполнить.
ArpalertLinuxНетдаНетдапассивныйПредопределенный список разрешенных MAC-адресов, предупреждение, если MAC-адрес отсутствует в списке.
АрпОНLinuxНетдададаактивный + пассивныйДемон переносного обработчика для защиты ARP от спуфинга, отравления кеша или атак маршрутизации в статических, динамических и гибридных сетях.
ArpGuardMacдаНетдадаактивный + пассивный
ArpStarLinuxНетдада?пассивный
ArpwatchLinuxНетдаНетдапассивныйСохраняйте сопоставления пар IP-MAC, сообщайте об изменениях через системный журнал, электронную почту.
ArpwatchNGLinuxНетдаНетНетпассивныйСохраняйте сопоставления пар IP-MAC, сообщайте об изменениях через системный журнал, электронную почту.
Коласофт CapsaWindowsдаНетНетдабез обнаружения, только анализ с ручной проверкой
cSploit[16]Android (только рутированный)дадаНетдапассивный
Prelude IDS??????Плагин ArpSpoof, базовые проверки адресов.
Панда БезопасностьWindows??да?АктивныйВыполняет базовую проверку адресов
повторятьLinuxНетдаНетНетпассивный
ФырканьеWindows / LinuxНетдаНетдапассивныйПрепроцессор Snort Arpspoof, выполняет базовые проверки адресов
WinarpwatchWindowsНетдаНетНетпассивныйСохраняйте сопоставления пар IP-MAC, сообщайте об изменениях через системный журнал, электронную почту.
XArp[17]Windows, LinuxдаДа (+ про версия)Да (Linux, про)даактивный + пассивныйРасширенное обнаружение спуфинга ARP, активное зондирование и пассивные проверки. Два пользовательских интерфейса: обычный вид с предопределенными уровнями безопасности, профессиональный вид с индивидуальной конфигурацией модулей обнаружения и активная проверка. Windows и Linux, на основе графического интерфейса.
Seconfig XPТолько Windows 2000 / XP / 2003дададаНетактивирует только защиту, встроенную в некоторые версии Windows
ЗантиAndroid (только рутированный)дадаНет?пассивный
NetSec FrameworkLinuxНетдаНетНетактивный
анти-арпспуф[18]Windowsдада???
DefendARP:[19]??????Инструмент для мониторинга и защиты таблиц ARP на основе хоста, разработанный для использования при подключении к общедоступной сети Wi-Fi. DefendARP обнаруживает атаки с отравлением ARP, исправляет отравленную запись и определяет MAC и IP-адрес злоумышленника.
NetCutDefender:[20]Windows?????Графический интерфейс для Windows, который может защитить от атак ARP

Спуфинг

Некоторые из инструментов, которые можно использовать для проведения атак с подменой ARP:

Смотрите также

Рекомендации

  1. ^ а б Рамачандран, Вивек и Нанди, Сукумар (2005). «Обнаружение спуфинга ARP: активный метод». В Джаджодиа, Сучил и Мазумдар, Чандан (ред.). Безопасность информационных систем: первая международная конференция ICISS 2005, Калькутта, Индия, 19–21 декабря 2005 г .: материалы. Бирхаузер. п. 239. ISBN  978-3-540-30706-8.
  2. ^ а б c d Локхарт, Эндрю (2007). Взломы сетевой безопасности. О'Рейли. п.184. ISBN  978-0-596-52763-1.
  3. ^ а б Мун, Дэсон; Ли, Джэ Донг; Чон, Ён-Сик; Пак, Чон Хёк (2014-12-19). «RTNSS: система сетевой безопасности на основе трассировки для предотвращения атак с подменой ARP». Журнал суперкомпьютеров. 72 (5): 1740–1756. Дои:10.1007 / s11227-014-1353-0. ISSN  0920-8542.
  4. ^ Локхарт, Эндрю (2007). Взломы сетевой безопасности. О'Рейли. п.186. ISBN  978-0-596-52763-1.
  5. ^ "(PDF) Подход к безопасности для предотвращения отравления ARP и защитные инструменты". ResearchGate. Получено 2019-03-22.
  6. ^ AntiARP В архиве 6 июня 2011 г. Wayback Machine
  7. ^ https://www.berrange.com/posts/2011/10/03/guest-mac-spoofing-denial-of-service-and-preventing-it-with-libvirt-and-kvm/
  8. ^ https://downloadmirror.intel.com/26556/eng/README.txt
  9. ^ https://man.openbsd.org/arp.4
  10. ^ Протокол разрешения адресов
  11. ^ "Справочная страница OpenBSD для CARP (4)"., получено 04.02.2018
  12. ^ Саймон Хорман. "Ultra Monkey: захват IP-адреса"., получено 04.01.2013
  13. ^ "Круг с Диснеем блокирует детские устройства издалека"., дата обращения 12.10.2016
  14. ^ Противоядие
  15. ^ Арп_Антидот
  16. ^ а б "cSploit". tux_mind. Получено 2015-10-17.
  17. ^ XArp
  18. ^ анти-арпспуф В архиве 31 августа 2008 г. Wayback Machine
  19. ^ Сценарии защиты | Отравление ARP
  20. ^ http://www.arcai.com/netcut-defender/
  21. ^ "Уловка Проект". Получено 2013-11-18.
  22. ^ "Seringe - Статически скомпилированный инструмент отравления ARP". Получено 2011-05-03.
  23. ^ а б c d е ж грамм час я j «Уязвимости ARP: полная документация». l0T3K. Архивировано из оригинал на 2011-03-05. Получено 2011-05-03.
  24. ^ «Инструмент отравления кеша ARP для Windows». Архивировано из оригинал 9 июля 2012 г.. Получено 2012-07-13.
  25. ^ «Симсанг». Архивировано из оригинал на 2016-03-04. Получено 2013-08-25.
  26. ^ "Минари". Получено 2018-01-10.
  27. ^ "NetCut".
  28. ^ "ARPpySHEAR: инструмент заражения кэша ARP для использования в атаках MITM". Получено 2019-11-11.

внешняя ссылка