Главная мысль
Проверяйте подозрительные изменения ARP, разделяйте пользовательские и управляющие сегменты и разрешайте между ними только нужный трафик.
Подмена встречается на разных уровнях
Spoofing — это имитация доверенного источника для обмана человека или системы. Подменяться могут поле From и отображаемое имя отправителя письма, исходный IP, DNS-ответ, определяемый номер звонящего и MAC-адрес в локальной сети; это разные цели и механизмы. Поддельный исходный IP используют, чтобы скрыть источник атаки или направить ответы службы на адрес жертвы; сам по себе он не создаёт двустороннюю сессию. BEC может опираться как на похожий домен, так и на взлом настоящего почтового ящика. Поэтому отображаемое имя и список разрешённых IP сами по себе не подтверждают личность.
L2: ARP/MAC
Может влиять на соответствие IP–MAC устройств в одном широковещательном домене.
L3: IP
Исходный IP можно подменить; он не заменяет отдельную аутентификацию.
Приложения и люди
При подмене DNS, сайта, письма или номера звонящего нужно проверять настоящий источник.
Подмена ARP: ложное соответствие адресов в локальной сети
В IPv4 LAN протокол ARP помогает сопоставить IP-адрес с MAC-адресом в локальном канале. Злоумышленник может посылать поддельные ответы ARP, например связывая IP шлюза со своим MAC-адресом. Если трафик направляется через устройство злоумышленника, он может наблюдать, менять или блокировать его. Такая атака ограничена локальным широковещательным доменом второго уровня; её нельзя напрямую выполнить для произвольного адреса через интернет. HTTPS/TLS помогает защитить содержимое шифрованной сессии, но трафик можно блокировать, метаданные остаются видимыми, а пользователя могут перенаправить на поддельный узел.
Сценарии MITM и реальные признаки
При MITM злоумышленник оказывается между сторонами и может читать или менять данные. Возможные сценарии — поддельная точка Wi-Fi, подмена ARP, вмешательство в DNS-кэш и обход пользователем предупреждения TLS; перехват сеансовых cookie может привести к захвату сессии. Отсутствие значка замка или медленный интернет сами по себе не доказывают атаку. Поводом для проверки служат предупреждение сертификата, неожиданная смена домена или сертификата, несколько ARP-ответов для одного IP и внезапное изменение MAC шлюза. В публичном Wi-Fi используйте утверждённый VPN, не обходите TLS-предупреждения, применяйте MFA и устойчивую к фишингу аутентификацию, обновляйте ПО и сопоставляйте события с журналами узлов.
Наблюдайте
Собирайте сведения об изменениях ARP/DNS, предупреждениях сертификатов и необычных маршрутах.
Подтвердите
Сверьте зарегистрированный MAC-адрес, порт коммутатора, привязку IP–MAC в DHCP и доверенную цепочку сертификатов.
Ограничьте
Изолируйте подозрительный порт или устройство и проверьте шлюз, DNS, сессии и учётные записи.
Дополняйте сегментацию реальными правилами
VLAN или отдельные коммутаторы группируют устройства, но сами по себе не определяют, кому разрешено обращаться к ресурсам. С помощью правил на маршрутизаторе, сетевом или локальном межсетевом экране либо другом средстве контроля доступа ограничьте потоки между гостевым Wi-Fi, IoT, пользователями, серверами, управлением и платёжными системами тем, что нужно для работы. Для каждого правила задайте владельца, цель, источник, назначение, протокол и дату пересмотра. Отделяйте RDP, SNMP, управление коммутаторами и консоли резервного копирования от пользовательских сегментов. Компрометация гостевого или IoT-устройства не должна автоматически открывать путь в другие зоны.
Определите
Составьте карту критичных систем, владельцев устройств и необходимых связей.
Ограничьте
Стремитесь к запрету по умолчанию; доступ управления выдавайте отдельным административным узлам.
Проверяйте и пересматривайте
Проверяйте разрешённые и запрещённые соединения, удаляйте устаревшие правила.
Защита ARP: границы возможностей коммутатора
Статические записи ARP могут быть полезны в небольшой стабильной лаборатории, но сложны в обслуживании в меняющейся сети и не защищают IPv6 Neighbor Discovery. На управляемом коммутаторе Dynamic ARP Inspection (DAI) проверяет ARP-пакеты по базе привязок IP–MAC, собранной DHCP snooping. Для устройств со статическими адресами настройте поддерживаемые оборудованием списки доступа ARP или другой механизм статических привязок. Пакеты на доверенных портах DAI могут проходить без проверки, поэтому ошибочный выбор таких портов или неполная настройка DHCP snooping ослабляют защиту. DAI не предотвращает все виды MITM. При подозрении проверьте изменения порта/MAC, привязки DHCP и записи ARP, ограничьте подтверждённо вредоносный порт и сохраните журналы инцидента.