Monitorując ruch sieciowy, wykryto, że jeden z komputerów sieci lokalnej rozsyła fałszywe odpowiedzi ARP, podając swój adres MAC jako adres MAC bramy domyślnej. Jest to atak typu
A. Flooding
B. DDoS (Distributed Denial of Service)
C. Mail Bombing
D. ARP spoofing (zatruwanie tablic ARP)
Opis pasuje do ARP spoofingu, nazywanego też zatruwaniem tablic ARP. W normalnej pracy sieci lokalnej protokół ARP służy do ustalenia, jaki adres MAC odpowiada danemu adresowi IP, np. adresowi IP bramy domyślnej. Problem w tym, że klasyczny ARP nie ma wbudowanego mechanizmu uwierzytelniania. Jeśli komputer rozsyła fałszywe odpowiedzi ARP i podaje swój adres MAC jako adres MAC routera, inne hosty mogą zapisać błędne mapowanie w swojej tablicy ARP. W praktyce ruch, który miał iść do bramy, trafia najpierw do atakującego. To typowy scenariusz ataku Man-in-the-Middle, gdzie napastnik może podsłuchiwać, modyfikować albo przekierowywać pakiety. Z mojego doświadczenia to jeden z tych ataków, które łatwo pokazać w laboratorium, a potem nagle człowiek rozumie, po co są zabezpieczenia warstwy 2. Dobre praktyki to m.in. włączenie Dynamic ARP Inspection na przełącznikach, DHCP Snooping, statyczne wpisy ARP dla krytycznych urządzeń, segmentacja VLAN oraz monitorowanie anomalii narzędziami typu Wireshark, arpwatch czy systemami IDS. W sieciach firmowych warto też pilnować standardów konfiguracji switchy, bo sama zapora na brzegu sieci nie zatrzyma takiego ataku wewnątrz LAN.
W tym przypadku kluczowe jest słowo ARP oraz informacja, że komputer podszywa się pod bramę domyślną przez podanie własnego adresu MAC. To nie jest typowy DDoS, bo DDoS polega na rozproszonym przeciążeniu usługi lub łącza dużą liczbą żądań z wielu źródeł. Tam celem jest najczęściej niedostępność systemu, a nie oszukanie lokalnych tablic odwzorowań IP na MAC. Czasem ktoś widzi dużo podejrzanego ruchu i od razu myśli o DDoS, ale tutaj mechanizm jest zupełnie inny i dzieje się głównie w warstwie drugiej modelu OSI. Mail Bombing też nie pasuje, ponieważ dotyczy masowego wysyłania wiadomości e-mail w celu zapchania skrzynki, serwera pocztowego albo utrudnienia pracy użytkownikowi. Nie ma tam nic wspólnego z protokołem ARP, adresem MAC bramy czy ruchem w sieci lokalnej. Flooding jest pojęciem bardziej ogólnym i może oznaczać zalewanie sieci pakietami, np. MAC flooding na przełączniku albo UDP flood, ale sam fakt rozsyłania fałszywych odpowiedzi ARP wskazuje na konkretny atak: ARP spoofing. Typowy błąd myślowy polega na tym, że każde nadmiarowe wysyłanie pakietów traktuje się jako flooding. A tu ważniejsza od ilości pakietów jest ich treść: fałszywa informacja, że adres IP bramy ma adres MAC atakującego. W diagnostyce warto wtedy sprawdzić tablice ARP na stacjach roboczych, porównać MAC bramy z faktycznym adresem interfejsu routera oraz przeanalizować ramki w Wiresharku. Moim zdaniem to bardzo praktyczny przykład, bo pokazuje, że bezpieczeństwo sieci LAN to nie tylko hasło do Wi-Fi i antywirus, ale też poprawna konfiguracja przełączników i kontrola protokołów warstwy 2.