Əsas fikir
Şübhəli ARP dəyişikliklərini yoxlayın, idarəetmə və istifadəçi seqmentlərini ayırın, seqmentlər arasında yalnız zəruri trafiki buraxın.
Saxtalaşdırma müxtəlif qatlarda görünür
Mənbənin saxtalaşdırılması (spoofing) etibarlı görünən mənbəni təqlid etməklə insanı və ya sistemi aldatmaq üsuludur. Email-in From ünvanı və görünən göndərən adı, IP mənbə ünvanı, DNS cavabı, zəng edənin göstərilən nömrəsi və yerli şəbəkədə MAC ünvanı fərqli mexanizmlərlə saxtalaşdırılan hədəflərdir. Saxta mənbə IP ünvanı hücumun mənbəyini gizlətmək və ya xidmətin cavablarını qurbanın ünvanına yönəltmək üçün istifadə oluna bilər; IP ünvanını saxtalaşdırmaq öz-özlüyündə iki istiqamətli sessiya yaratmır. BEC isə həqiqisinə bənzəyən domenlə yanaşı həqiqi poçt hesabının ələ keçirilməsindən də yarana bilər. Buna görə yalnız görünən ad və icazəli IP ünvanlarının siyahısı identifikasiya üçün kifayət deyil.
L2: ARP/MAC
Eyni broadcast domenindəki cihazların IP–MAC uyğunluğuna təsir edə bilər.
L3: IP
Mənbə IP ünvanı saxtalaşdırıla bilər; onu ayrıca autentifikasiyanın əvəzi saymayın.
Tətbiq və insan
DNS, sayt, email və ya zəng edən nömrəsi saxtalaşdırıldıqda həqiqi mənbəni ayrıca yoxlayın.
ARP saxtalaşdırması: lokal şəbəkədə saxta xəritə
IPv4 LAN-da ARP IP ünvanının yerli linkdəki MAC ünvanına uyğunluğunu tapmağa kömək edir. Hücumçu saxta ARP cavabları ilə, məsələn, gateway IP-sini öz MAC ünvanına bağlamağa çalışa bilər. Trafik hücumçunun cihazına yönələndə o, ötürməni izləyə, dəyişə və ya bloklaya bilər. Bu hücum yerli Layer 2/broadcast domeni ilə məhdudlaşır; internet üzərindən istənilən ünvana birbaşa edilmir. HTTPS/TLS şifrlənmiş sessiyanın məzmununu qorumağa kömək edir, lakin trafik bloklana, metadata görünə və ya istifadəçi saxta endpoint-ə yönələ bilər.
MITM ssenariləri və həqiqi əlamətlər
MITM zamanı hücumçu iki tərəfin arasında yerləşib məlumatı oxuya və ya dəyişə bilər. Saxta Wi-Fi nöqtəsi, ARP qeydlərinin saxtalaşdırılması, DNS keşinə müdaxilə və istifadəçinin TLS xəbərdarlığını keçməsi mümkün ssenarilərdir; sessiya kukilərinin ələ keçirilməsi sessiyanın oğurlanmasına səbəb ola bilər. Kilid işarəsinin olmaması və ya yavaş internet təkbaşına hücum sübutu deyil; sertifikat xəbərdarlığı, gözlənilməz domen/sertifikat dəyişikliyi, eyni IP üçün çoxlu ARP cavabı və cihazın gateway MAC ünvanının qəfil dəyişməsi araşdırmağa əsas verir. İctimai Wi-Fi-da təşkilatın təsdiqlədiyi VPN istifadə edin, TLS xəbərdarlığını keçməyin, MFA və fişinqə davamlı autentifikasiya tətbiq edin, proqramları yeniləyin və sessiyaları müvafiq host qeydləri ilə tutuşdurun.
Müşahidə et
ARP/DNS dəyişikliklərini, sertifikat xəbərdarlıqlarını və qeyri-adi marşrutları toplayın.
Təsdiqlə
Qeydiyyatlı MAC ünvanını, kommutator portunu, DHCP-də IP–MAC uyğunluğunu və etibarlı sertifikat zəncirini tutuşdurun.
Məhdudlaşdır
Şübhəli portu/cihazı izolyasiya edin və gateway, DNS, sessiya və hesab məlumatını yoxlayın.
Seqmentasiya sərhədinə real qayda əlavə edin
VLAN və ya ayrı fiziki switch cihazları qruplaşdırır, lakin öz-özünə resurslara giriş icazəsini müəyyən etmir. Router, firewall, host firewall və ya başqa girişə nəzarət nöqtəsində qaydalarla qonaq Wi-Fi, IoT, istifadəçi, server, idarəetmə və ödəniş sistemləri arasında yalnız biznes üçün lazım olan axınları buraxın. Hər qaydaya sahib, məqsəd, mənbə, təyinat, protokol və baxış tarixi verin. RDP, SNMP, switch idarəetməsi və ehtiyat nüsxələrin idarəetmə konsollarını istifadəçi seqmentlərindən ayırın. Qonaq və ya IoT cihazının ələ keçirilməsi digər sahələrə avtomatik yol açmamalıdır.
Təyin et
Həssas sistemləri, cihaz sahibini və lazım olan əlaqələri xəritələyin.
Məhdudlaşdır
Susmaya görə girişi qadağan edən qaydanı tətbiq etməyə çalışın; idarəetməyə yalnız ayrıca administrator cihazlarından giriş verin.
Sına və nəzərdən keçir
İcazəli və rədd edilən əlaqələri təsdiqləyin, köhnəlmiş qaydaları silin.
ARP müdafiəsi: switch xüsusiyyətlərinin sərhədi
Kiçik, sabit laboratoriyada statik ARP qeydləri faydalı ola bilər, amma dəyişən işçi şəbəkəsində idarəsi çətindir və IPv6 Neighbor Discovery-ni əhatə etmir. İdarə olunan switch-də Dynamic ARP Inspection (DAI) DHCP snooping vasitəsilə toplanan IP–MAC uyğunluqları bazasına əsaslanaraq ARP paketlərini yoxlaya bilər. Statik ünvanlı cihazlar üçün avadanlığın dəstəklədiyi ARP giriş siyahılarını və ya digər statik uyğunluq mexanizmini qurun. DAI-də etibarlı sayılan portlardan gələn paketlər yoxlamadan keçə bilər; portların səhv seçilməsi və ya yarımçıq DHCP snooping müdafiəni zəiflədə bilər. DAI bütün MITM növlərini dayandırmır. Şübhə yaranarsa port/MAC dəyişikliklərini, DHCP ünvan uyğunluqlarını və ARP müşahidəsini yoxlayın, təsdiqlənən zərərli portu məhdudlaşdırın və hadisə qeydlərini saxlayın.