ARP spoofing
Простыми словами
Злоумышленник убеждает устройства, что его MAC-адрес принадлежит шлюзу или другому узлу. После этого часть трафика может пойти через его устройство или перестать доставляться.
Как применяется
Защита включает сегментацию, DHCP snooping и Dynamic ARP Inspection на коммутаторах, статические привязки для критичных узлов и обнаружение неожиданных изменений ARP-таблиц.
Пример применения
Рабочая станция внезапно получает новый MAC для IP-адреса шлюза. Коммутатор сравнивает ARP-ответ с доверенной таблицей DHCP и блокирует несовпадение.
Не путать с
- СравнениеDNS spoofing подменяет ответ о доменном имени; MAC flooding переполняет таблицу коммутации. ARP spoofing изменяет привязку IP к MAC внутри широковещательного домена.
Как это работает
- Выбор целиАтакующий находится в том же L2-сегменте и определяет адрес шлюза или узла.
- Ложный ARPОн рассылает сообщения с подменённым соответствием IP и MAC.
- Изменение таблицУстройства обновляют ARP-кэш и начинают отправлять кадры на ложный MAC.
- Перехват или отказТрафик пересылается дальше для MITM либо отбрасывается для нарушения связи.
Связанные термины
Частые вопросы
ARP ограничен локальным широковещательным доменом; удалённая атака требует предварительного доступа в сегмент.
HTTPS полностью устраняет риск?Шифрование снижает возможность чтения и подмены содержимого, но перенаправление и отказ в обслуживании остаются возможными.
Что является сильным признаком?Неожиданная смена MAC у шлюза, один MAC для нескольких IP и несовпадение с доверенными привязками.