Підміна протоколу роздільної здатності адрес (ARP) або ARP-спуфінг – це мережева атака, яку хакери використовують для перехоплення даних. Провівши цю атаку, зловмисник обманює пристрій та перехоплює повідомлення. Як захиститись від такої атаки? Давайте розбиратися!
Трохи про протокол ARP та його заміну
Щоб розуміти метод роботи ARP-спуфінгу нам знадобляться базові знання про протокол ARP.
ARP – протокол зв’язку, що з’єднує динамічну IP-адресу з MAC-адресою пристрою та потік даних у локальній мережі. Наприклад, хост A у комп’ютерній мережі хоче з’єднати свою IP-адресу з MAC-адресою хоста B. Для цього він посилає ARP-запит всім іншим хостам у локальній мережі. Після цього запиту він отримує ARP-відповідь від хоста B з його MAC-адресою. Потім хост, що запитує, зберігає цю адресу в своєму ARP-кеші, схожому на список контактів.
Саме тут і вступають у справу зловмисники. Видаючи себе за хост B, вони надсилають повідомлення на хост A. У результаті адреса хакера зберігається в ARP-кеші як адреса хоста B і отримуватиме призначені для хоста повідомлення.
Навіщо ж використовується ARP-спуфінг?
Для шпигунства, проведення MITM та DoS-атак. Коротко розберемо кожне із завдань:
- Шпигунство – хакери просто переглядають потік даних між хостами A і B, не змінюючи його;
- MITM-атака або атака посередника – зловмисники змінюють інформацію перед її відправкою на цільовий вузол;
- DoS-атака – кіберзлочинці блокують передачу даних між двома та більше вузлами.
Ворога потрібно знати в обличчя: хто користується ARP-спуфінгом?
Методом заміни ARP користуються не лише хакери. Він допомагає розробникам налагоджувати мережевий трафік, а також використовується пентестерами для імітації отруєння ARP-кешу.
Наслідки атак з використанням ARP-спуфінгу
Якщо зловмисники шпигуть за жертвою, проводять MITM-атаку або планують інші атаки в майбутньому, то жертва може навіть не помітити будь-яких наслідків від заміни ARP. Але як тільки кінцевої мети хакерів буде досягнуто, вони можуть спробувати перевантажити комп’ютер за допомогою шкідливого ПЗ або заразити систему програмою-вимагачем.
Чому ARP-спуфінг небезпечний?
За допомогою ARP-спуфінгу хакери отримують доступ до особистих даних жертв. До того ж ці атаки можуть бути використані для впровадження шкідливого ПЗ.
А як визначити заміну ARP?
Щоб перевірити, чи піддався ваш ARP спуфінгу, знайдіть кеш ARP-протоколу. Для цього підійде будь-яка програма для керування конфігурацією пристрою. Якщо у вашому ARP-кеші будуть дві IP-адреси з однаковими MAC-адресами, ви могли стати жертвою атаки. Хакери зазвичай використовують підробне програмне забезпечення, яке надсилає повідомлення про те, що його адреса є адресою стандартного шлюзу.
Ще можна переглянути ARP-трафік на предмет повідомлень, що не запитуються, претендують на володіння IP або MAC-адресою вашого маршрутизатора. Такі повідомлення майже завжди є сигналом про ARP-спуфінг.
Як захиститись від ARP-спуфінгу?
Для захисту від ARP-спуфінгу є кілька інструментів:
- Статичні ARP-записи – найпростіший спосіб захисту від ARP-спуфінгу. Такий запис вводиться вручну, не даючи пристрою автоматично змінити ARP-кеш. Пам’ятайте, цей метод можна використовувати тільки для деяких записів (наприклад, стандартних адрес шлюзів), а клієнтські вузли так само залишаються вразливими до атаки.
- ПЗ для перевірки ARP-запитів. Воно сертифікує IP/MAC адреси та блокує несертифіковані відповіді. Є інша версія такого програмного забезпечення, що повідомляє хосту про зміни в ARP-кеші.
- Брандмауери із фільтрацією пакетів. Вони визначають спроби маскування хакерів під інший хост, відзначаючи пакети, відправлені з адрес, що повторюються.
- Шифрування. Це найважливіший спосіб захисту від ARP-атаки. Воно значно ускладнює злом ARP і не дає хакеру прочитати повідомлення після їхнього перехоплення.
- VPN. При підключенні до VPN всі ваші дані проходитимуть через зашифрований тунель, що гарантовано захищає від будь-яких атак хакерів.
Найкращий захист – напад?
Насамкінець хотілося б згадати незвичайний спосіб захисту – імітацію ARP-спуфінгу у своїй мережі для знаходження проломів у системах безпеки. Інструменти для пентесту широко доступні та прості у використанні, тому така стратегія захисту від ARP-атак має повне право на існування.