Detecção de Envenenamento ARP em Tráfego de Rede

Visão Geral

O envenenamento ARP (ARP spoofing) é um ataque de Camada 2 onde um adversário envia mensagens ARP falsificadas para associar seu endereço MAC ao endereço IP de um host legítimo, permitindo interceptação man-in-the-middle (MitM), sequestro de sessão ou negação de serviço. Como o ARP não possui um mecanismo de autenticação integrado, qualquer dispositivo em um domínio de broadcast pode forjar respostas ARP. A detecção requer o monitoramento do tráfego ARP em busca de anomalias como inundações de ARP gratuitas, alterações de mapeamento IP-para-MAC e endereços IP duplicados. Esta habilidade abrange a implantação de múltiplas camadas de detecção, incluindo ARPWatch, Inspeção Dinâmica de ARP (DAI), análise baseada em Wireshark e ferramentas de monitoramento personalizadas em Python.

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de envenenamento ARP em tráfego de rede
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Acesso ao segmento de rede de destino (domínio de broadcast)
• Host Linux para ARPWatch e ferramentas de monitoramento personalizadas
• Switches gerenciados que suportam Inspeção Dinâmica de ARP (Cisco Catalyst, Aruba, Juniper EX)
• Wireshark ou tcpdump para captura de pacotes
• DHCP snooping configurado (pré-requisito para DAI)
• Infraestrutura de monitoramento de rede (SIEM, servidor syslog)

Conceitos Principais

Fundamentos do Protocolo ARP

O ARP mapeia endereços IP para endereços MAC em um segmento de rede local. O protocolo opera sem estado e sem autenticação:

Normal ARP Process:
1. Host A broadcasts: "Who has 10.0.1.1? Tell 10.0.1.100"
2. Router replies: "10.0.1.1 is at AA:BB:CC:DD:EE:01"
3. Host A caches the mapping

ARP Poisoning Attack:
1. Attacker sends unsolicited ARP reply to Host A:
   "10.0.1.1 is at EV:IL:MA:CA:DD:RR" (attacker's MAC)
2. Host A updates cache, sends traffic to attacker
3. Attacker forwards to real gateway (MitM position)

Indicadores de Ataque

Fluxo de Trabalho

Etapa 1: Implantar ARPWatch para Monitoramento Contínuo

# Install ARPWatch
sudo apt-get install -y arpwatch

# Configure ARPWatch
sudo vi /etc/default/arpwatch
# INTERFACES="eth0"
# ARGS="-N -p -i eth0 -f /var/lib/arpwatch/arp.dat"

# Start monitoring
sudo systemctl enable arpwatch
sudo systemctl start arpwatch

# View current ARP database
cat /var/lib/arpwatch/arp.dat

# Monitor logs for changes
tail -f /var/log/syslog | grep arpwatch

Tipos de alerta do ARPWatch:

• new station - Endereço MAC visto anteriormente
• changed ethernet address - IP mapeado para MAC diferente (envenenamento potencial)
• flip flop - MAC alternando entre dois endereços (ataque ativo)
• reused old ethernet address - Mapeamento visto anteriormente retornado

Etapa 2: Configurar Inspeção Dinâmica de ARP (DAI) em Switches

Configuração Cisco Catalyst:

! Enable DHCP snooping (prerequisite for DAI)
ip dhcp snooping
ip dhcp snooping vlan 10,20,30

! Configure trusted ports (uplinks, DHCP servers)
interface GigabitEthernet1/0/1
 description Uplink to Distribution
 ip dhcp snooping trust

interface GigabitEthernet1/0/48
 description DHCP Server
 ip dhcp snooping trust

! Enable Dynamic ARP Inspection
ip arp inspection vlan 10,20,30

! Configure trusted ports for DAI
interface GigabitEthernet1/0/1
 ip arp inspection trust

! Set rate limits to prevent ARP flood DoS
interface range GigabitEthernet1/0/2-47
 ip arp inspection limit rate 15

! Enable additional validation checks
ip arp inspection validate src-mac dst-mac ip

! Configure ARP ACL for static IP devices (servers, printers)
arp access-list STATIC-ARP-ENTRIES
 permit ip host 10.0.10.100 mac host 0011.2233.4455
 permit ip host 10.0.10.101 mac host 0011.2233.4456

ip arp inspection filter STATIC-ARP-ENTRIES vlan 10

! Verify DAI status
show ip arp inspection vlan 10
show ip arp inspection statistics
show ip dhcp snooping binding

…