Atak ARP spoofing – na czym polega i jak się przed nim zabezpieczyć?

Atak ARP spoofing to technika hakerska polegająca na wysyłaniu sfałszowanych komunikatów Address Resolution Protocol w sieci lokalnej, by powiązać adres MAC napastnika z adresem IP prawowitego urządzenia. W ten prosty sposób atakujący przechwytuje, modyfikuje lub całkowicie blokuje pakiety danych krążące między komputerami a routerem. Taka ingerencja pozwala na cichy podsłuch sieci lokalnej i kradzież poświadczeń. Nie ma tu magii ani skomplikowanych algorytmów łamiących hasła. Jest brutalne wykorzystanie naiwności starego protokołu sieciowego, który bezgranicznie ufa każdemu urządzeniu wpiętemu do switcha.

Zanim przejdziemy do szczegółów technicznych, musimy ustalić jedną rzecz. Zatruwanie tablicy ARP działa, bo sprzęt sieciowy został zaprojektowany w czasach, gdy w biurach pracowali zaufani ludzie, a nikt nie zakładał wrogich intencji wewnątrz własnej infrastruktury. Adres IP wskazuje lokalizację logiczną maszyny. Adres MAC to fizyczny identyfikator karty sieciowej. Komputery gadają ze sobą używając adresów MAC. Żeby poznać MAC sąsiada, wysyłają w eter zapytanie ARP. Atakujący po prostu krzyczy najgłośniej i najszybciej, że to on jest bramą domyślną. I sieć mu wierzy.

Jak dokładnie działa zatruwanie tablicy ARP w sieci lokalnej?

Mechanizm jest banalny w swojej konstrukcji. Wyobraź sobie typową komunikację. Komputer o adresie IP 192.168.1.10 chce wysłać dane do Internetu. Musi przekazać je do routera, który ma adres 192.168.1.1. Komputer sprawdza swoją lokalną pamięć podręczną. Jeśli nie ma tam wpisu, wysyła pakiet rozgłoszeniowy (broadcast) do wszystkich w segmencie z pytaniem: „Kto ma 192.168.1.1? Powiedz 192.168.1.10”. Router odbiera komunikat i grzecznie odpowiada swoim adresem MAC. Maszyna zapisuje ten fakt w tabeli. Problem polega na tym, że protokół ARP jest bezstanowy. Nie weryfikuje tożsamości nadawcy.

W tym momencie do akcji wkracza napastnik. Uruchamia proste narzędzie, na przykład arpspoof lub Ettercap. Program zaczyna bombardować komputer ofiary fałszywymi pakietami odpowiedzi (ARP reply), chociaż nikt o nic nie pytał. Komunikaty te głoszą: „Hej, to ja jestem 192.168.1.1, a mój MAC to 00:11:22:33:44:55”. System operacyjny ofiary posłusznie nadpisuje swój bufor. Od tej sekundy cały ruch sieciowy zamiast do routera, leci prosto na kartę sieciową hakera. Zmieniliśmy te zasady na robocie, ale domyślne konfiguracje Windowsa i Linuksa nadal łykają te kłamstwa jak pelikany.

To nie koniec. Żeby ofiara nie zorientowała się, że straciła dostęp do sieci, napastnik musi przekazywać pakiety dalej do prawdziwego routera. Włącza IP forwarding. W ten sposób staje się niewidzialnym pośrednikiem. Klasyczny atak Man-in-the-Middle (MITM). Gość siedzi w kawiarni i zbiera ciastka sesyjne z niezabezpieczonych witryn HTTP. Prawda jest zresztą absolutnie taka, że większość tanich domowych routerów w ogóle nie ma mechanizmów obronnych przed tym zjawiskiem.

Kto najczęściej wykorzystuje podsłuch sieci i dlaczego to robi?

Motywacje są różne, ale zawsze sprowadzają się do kontroli nad ruchem. Najczęstszym celem jest kradzież danych uwierzytelniających. Nawet jeśli używasz HTTPS, atakujący może próbować wymusić obniżenie szyfrowania (downgrade attack) za pomocą narzędzi takich jak SSLstrip. Przechwycone pakiety danych analizuje się offline w poszukiwaniu haseł do FTP, Telnetu czy starych paneli administracyjnych. Zrobiliśmy na wdrożeniu audyt w małej firmie księgowej na warszawskich Włochach. Okazało się, że praktykant od trzech miesięcy czytał maile szefa, bo ustawił sobie skrypt na Raspberry Pi wpiętym pod biurkiem. Nikt nie monitorował tablic na switchach.

Innym powodem jest modyfikacja danych w locie. Wyobraź sobie pobieranie pliku instalacyjnego. Haker podmienia pakiet w locie i wstrzykuje złośliwy kod do pliku .exe. Ty uruchamiasz instalator, myśląc, że pobrałeś go z oficjalnego serwera. Maszyna zostaje zainfekowana ransomware. To jest bez mała najgorsza opcja z wszystkich.

Odmianą tego ataku jest też Denial of Service (DoS). Atakujący wysyła fałszywe pakiety ARP do wszystkich urządzeń w biurze, podając nieistniejący adres MAC jako bramę domyślną. Ruch trafia w czarną dziurę. Cała firma traci dostęp do Internetu w ułamku sekundy. Diagnostyka takiego problemu bywa irytująca dla młodszych administratorów, bo na pierwszy rzut oka kable są podpięte, a linki na switchu świecą na zielono.

Czy darmowe Wi-Fi to otwarte drzwi dla ataków MITM?

Tak. Otwarte sieci bezprzewodowe w hotelach, na lotniskach czy w galeriach handlowych to środowisko naturalne dla tego typu działań. Brak izolacji klientów (AP Isolation) powoduje, że każde urządzenie widzi inne maszyny w tej samej podsieci. Zastanawiacie się zresztą, dlaczego to na produkcji tak wyje na testach po drodze? Sam się nad tym borykałem dzisiaj u siebie we wtorek analizując logi z kontrolerów Wi-Fi. Jeśli hotel nie wdrożył separacji L2, każdy gość z laptopem może zatruć tablice ARP wszystkich innych rezydentów na tym samym piętrze.

Jakie są techniczne metody na to by wykryć atak ARP spoofing?

Wykrycie manipulacji na poziomie tablicy routingu wymaga spojrzenia w głąb systemu operacyjnego lub analizy ruchu na poziomie switcha. Najprostszą i najszybszą metodą dla zwykłego użytkownika jest weryfikacja lokalnej pamięci podręcznej. Odpalasz wiersz poleceń i wpisujesz komendę.

W Windowsie to arp -a. Patrzysz na wynik. Jeśli widzisz, że dwa różne adresy IP (na przykład adres routera i adres komputera kolegi z biurka obok) mają przypisany dokładnie ten sam adres MAC, wiesz, że coś jest bardzo nie tak. To fizycznie niemożliwe w prawidłowo działającej sieci. Jeden interfejs równa się jeden adres MAC. Zobacz jak to wygląda w praktyce.

Dla administratorów narzędziem pierwszego wyboru jest Wireshark. Uruchamiasz nasłuch na interfejsie i filtrujesz ruch wpisując po prostu arp. Jeśli widzisz lawinę pakietów typu „Is-at” wysyłanych z dużą częstotliwością bez wcześniejszych zapytań „Who-has”, masz przed oczami dowód na skanowanie i zatruwanie środowiska. Narzędzia hakerskie muszą regularnie odświeżać fałszywe wpisy, by system ofiary nie nadpisał ich poprawnymi danymi z prawdziwego routera. Stąd bierze się ten nienaturalny szum w sieci.

Można też wdrożyć systemy IDS (Intrusion Detection System) takie jak Snort czy Suricata. Mają wbudowane reguły wyłapujące anomalie protokołu ARP. Kiedy liczba pakietów rozgłoszeniowych przekracza zdrowy limit, system generuje alert. Chociaż prawdę mówiąc brakuje nam twardych danych za wczoraj z małych firm, więc wydaje się to tylko jedną z możliwych hipotez na najbliższy kwartał przed spowolnieniem rynku zabezpieczeń. Mało kto w segmencie MŚP stawia dedykowane sensory IDS.

(Mała dygresja sprzętowa: producenci taniego sprzętu sieciowego notorycznie ignorują łatki na demony DHCP, które też można spoofować. Zgłosiliśmy to do supportu pewnego dużego vendora z Azji, a oni po prostu zamknęli ticket z adnotacją „works as designed”. Ręce opadają na klawiaturę. Musieliśmy łatać to regułami na firewallu brzegowym na własną rękę).

W jaki sposób administratorzy mogą skutecznie chronić infrastrukturę?

Obrona przed zatruwaniem tablic to walka na warstwie drugiej modelu OSI. Nie załatwisz tego antywirusem na końcówkach. Trzeba konfigurować sprzęt sieciowy. Switch musi wiedzieć, kto jest kim i do jakiego portu jest podpięty. Mamy tu kilka konkretnych rozwiązań do wdrożenia na produkcji.

• Włączenie funkcji Dynamic ARP Inspection (DAI) na przełącznikach zarządzalnych. To podstawa w sieciach korporacyjnych. Switch podsłuchuje komunikaty DHCP, buduje sobie zaufaną bazę powiązań IP-MAC-Port i bezlitośnie odrzuca każdy pakiet ARP, który nie pasuje do tej macierzy. Jeśli intruz spróbuje wysłać fałszywą ramkę, port zostanie natychmiast zablokowany (stan err-disable).
• Statyczne wpisy ARP na krytycznych serwerach.
• Wdrożenie protokołu 802.1X. Zanim jakikolwiek komputer uzyska dostęp do sieci lokalnej, musi się uwierzytelnić certyfikatem lub poświadczeniami z serwera RADIUS. Gniazdko w ścianie jest głuche i martwe, dopóki suplikant nie przejdzie weryfikacji. To odcina fizycznych intruzów próbujących wpiąć obcego laptopa do sieci.
• Segmentacja sieci za pomocą VLAN-ów. Dzielisz dużą, płaską sieć na mniejsze obszary. Księgowość ma swój VLAN, goście swój, serwery swój. Atak ARP spoofing nie przechodzi przez routery, działa tylko w obrębie jednej domeny rozgłoszeniowej L2. Separacja drastycznie ogranicza pole rażenia.

Na poziomie użytkownika końcowego sprawa jest trudniejsza. Nie masz dostępu do konfiguracji switcha w kawiarni. Żeby chronić swoje dane przed odczytem przez pośrednika, używaj VPN (Virtual Private Network). Cały ruch z twojego komputera jest szyfrowany w tunelu i trafia do serwera zewnętrznego. Nawet jeśli haker zatruje tablicę i przechwyci pakiety, zobaczy tylko zaszyfrowaną papkę, z którą nic nie zrobi. Do tego zawsze pilnuj, by strony miały kłódkę (HTTPS), i ignoruj błędy certyfikatów. Jeśli przeglądarka krzyczy, że certyfikat banku jest nieważny i wystawiony przez nieznany podmiot, natychmiast zrywaj połączenie. Ktoś właśnie próbuje dobrać się do twoich pieniędzy.

Dlaczego statyczne wpisy ARP nie sprawdzają się w dużych firmach?

Teoretycznie wpisanie na sztywno adresu MAC routera do każdego komputera w biurze rozwiązuje problem. System operacyjny ignoruje wtedy pakiety rozgłoszeniowe i trzyma się konfiguracji z palca. Brzmi dobrze na papierze. W rzeczywistości to koszmar administracyjny. Masz 500 komputerów. Wymieniasz uszkodzony router na nowy. Zmienia się jego adres MAC. Musisz teraz fizycznie lub skryptowo przejść przez 500 stacji roboczych i zaktualizować statyczne wpisy. Ktoś pracuje z domu, laptop nie pobierze polityki z domeny. Wraca do biura i nie ma sieci. Zwyczajnie szkoda na to czasu w środowiskach z serwerem DHCP.

Atak ARP spoofing – na czym polega i jak się przed nim zabezpieczyć od strony audytora?

Spójrzmy na to zjawisko okiem człowieka łamiącego zabezpieczenia na zlecenie (penetration tester). Atakowanie protokołu ARP to często dopiero pierwszy krok w dłuższym łańcuchu. Zdobywamy przyczółek w sieci L2. Zaczynamy zbierać ruch. Odpalamy Respondera. To pythonowe narzędzie, które nasłuchuje zapytań LLMNR i NBT-NS. Kiedy Windows nie potrafi rozwiązać nazwy z DNS, pyta w sieci lokalnej. My odpowiadamy zatrutym pakietem, wymuszając na stacji ofiary próbę uwierzytelnienia. Zbieramy hashe NTLMv2. Potem wrzucamy je do Hashcata i łamiemy na kartach graficznych. Albo robimy atak NTLM Relay, przekazując poświadczenia do innego serwera i logując się na niego jako ofiara.

Bez mała prawie pięćdziesiąt procent na plusie uderzając do przodu u wyników testów penetracyjnych wewnątrz firm zaczyna się właśnie od trywialnego zatrucia tablic na niezabezpieczonym switchu dostępowym. Administratorzy skupiają się na zaporach brzegowych, kupują drogie firewalle nowej generacji za grube tysiące, a zostawiają całkowicie płaską, ufną sieć na portach pracowniczych. To błąd.

Zapobieganie wymaga zmiany myślenia. Sieć wewnętrzna nie jest już strefą zaufaną. Koncepcja Zero Trust zakłada, że każdego traktujemy jak potencjalnego wroga. Szyfrujemy ruch wewnątrz sieci (SMBv3 z szyfrowaniem, IPSec między serwerami). Wdrażamy port security. Wyłączamy nieużywane gniazdka w salach konferencyjnych. Monitorujemy zmiany adresacji. Jeśli ktoś podpina nowe urządzenie, system NAC (Network Access Control) wrzuca go do kwarantanny i czeka na akceptację helpdesku.

Prawda jest taka, że technologia zabezpieczeń istnieje od kilkunastu lat. DAI wprowadzono w switchach Cisco wieki temu. Problemem jest wdrożenie. Uruchomienie inspekcji wymaga wcześniejszego uporządkowania adresacji, włączenia DHCP snooping i zrobienia wyjątków dla urządzeń ze statycznym IP (drukarki, kamery). Wiele firm odpada na tym etapie, bo boją się, że „coś przestanie działać” po włączeniu ochrony. Zostawiają ustawienia fabryczne. A potem dziwią się, że audytor wyciąga im bazę danych w dwie godziny przez gniazdko w recepcji.

Co robić gdy padłeś ofiarą przechwytywania pakietów?

Procedura reagowania na incydent musi być szybka. Jeśli zauważyłeś zduplikowane adresy MAC w tablicy lub Twój IDS wyje na czerwono, działaj. Odłącz podejrzaną stację roboczą od sieci fizycznej. Wypnij kabel. Jeśli to Wi-Fi, zablokuj adres MAC atakującego na kontrolerze. Zmuś systemy ofiar do wyczyszczenia pamięci podręcznej. W Windowsie robisz to z uprawnieniami administratora poleceniem arp -d *. Karta sieciowa zapomni wszystko i od nowa wyśle poprawne zapytania do routera.

Następnie rozpocznij śledztwo. Skąd wziął się wrogi MAC? Znajdź ten adres w tablicy CAM zarządzalnego switcha. Sprawdź, na którym porcie się uczy. Sprawdź w dokumentacji, dokąd prowadzi ten kabel. Może to zainfekowany komputer księgowej, który stał się częścią botnetu i skanuje sieć od środka. A może ktoś fizycznie wpiął własny ruter pod biurko, by mieć mocniejsze Wi-Fi na telefonie, a wbudowany w niego serwer DHCP zaczął siać spustoszenie w podsieci. Zdarzały się i takie przypadki w dużych korporacjach.

Atak ARP spoofing – na czym polega i jak się przed nim zabezpieczyć w perspektywie długoterminowej? Wymaga to twardej polityki. Nie dopuszczaj do podłączania prywatnych urządzeń (BYOD) do głównej sieci produkcyjnej. Wyrzuć stare przełączniki niezarządzalne (tzw. „głupie switche” za 50 złotych), które ludzie z IT chętnie rzucają pod biurka, by rozdzielić sygnał na więcej komputerów. Te urządzenia przepuszczają każdy brudny ruch i całkowicie psują topologię oraz widoczność w sieci. Wymień je na sprzęt z obsługą 802.1X i port security.

Zabezpieczenie sieci lokalnej to nudna, rzemieślnicza praca. Wymaga aktualizacji dokumentacji, ciągłego przeglądania logów i walki z pracownikami, którzy chcą wygody kosztem bezpieczeństwa. Przestań polegać na domyślnych konfiguracjach sprzętu prosto z pudełka. Wejdź na przełączniki rdzeniowe, odpal terminal, skonfiguruj DHCP Snooping, przypnij porty zaufane (trust ports) tylko do interfejsów idących w stronę routera i włącz inspekcję ARP na wszystkich VLAN-ach dostępowych. Nie czekaj na audyt, żeby dowiedzieć się, jak bardzo dziurawa jest Twoja warstwa druga. Zrób to w ten weekend podczas okna serwisowego.