ARP zehirlenmesi (ARP spoofing)

ARP zehirlenmesi nedir?

ARP zehirlenmesi (ARP spoofing), aynı yerel ağdaki bir saldırganın sahte ARP yanıtları göndererek diğer cihazların IP adresi ile MAC adresi eşleşmelerini bozması ve trafiği kendi üzerinden geçirtmesidir. Sonuç genellikle ortadaki adam saldırısıdır.

ARP (Address Resolution Protocol), bir IP adresine karşılık gelen MAC adresini bulmak için kullanılır. Protokol kimlik doğrulama içermez ve cihazlar gelen yanıtlara çoğu zaman olduğu gibi güvenir; bu açıklık saldırıya zemin hazırlar.

Nasıl çalışır?

Saldırgan hedefe “ağ geçidinin MAC adresi benimki” der, ağ geçidine de “hedefin MAC adresi benimki” der. İki taraf paketlerini saldırgana gönderir; saldırgan bunları ileterek iletişimi kesintisiz gösterir ve arada dinler ya da değiştirir. Paketleri iletmezse hizmet kesintisi oluşur.

Saldırı yalnızca aynı yayın alanında (aynı alt ağ/VLAN) mümkündür. Bu yüzden uzaktaki bir saldırganın doğrudan yapabileceği bir şey değildir; ama içeriden gelen veya zaten bir cihazı ele geçirmiş saldırgan için etkilidir.

Sunucu ve hosting ortamında

Veri merkezlerinde aynı VLAN'daki sunucular, paylaşılan bir anahtar üzerinde birbirinin ARP tablosunu zehirleyebilir. Ele geçirilen bir VPS'in aynı sanal ağdaki komşulara saldırması bu yüzden sağlayıcıların yalıtım konusudur. Şifrelenmemiş protokoller (düz HTTP, FTP) bu saldırıda parola sızdırır.

Belirtiler: ARP tablosunda aynı MAC adresine bağlı birden çok IP, ağ geçidi MAC adresinin ani değişmesi, kimlik doğrulama uyarıları ve sertifika hataları.

Nasıl korunulur?

• Tüm trafiği TLS, SSH gibi şifreli protokollerle taşıyın; dinlense bile içerik okunamasın.
• Yönetilebilir anahtarlarda Dynamic ARP Inspection ve DHCP snooping kullanın.
• Kritik sunucular için sabit (statik) ARP kayıtlarını düşünün.
• Ağı VLAN'larla bölümleyip kritik sistemleri ayrı yayın alanlarında tutun.
• ARP değişikliklerini izleyen araçlarla (arpwatch gibi) uyarı kurun.
• Port güvenliği ile bir porttan öğrenilen MAC adresi sayısını sınırlayın.

Sık yapılan hatalar

• İç ağa güvenip yönetim trafiğini şifrelemeden taşımak.
• Tüm cihazları tek düz ağda tutmak.
• Sertifika uyarılarını hızlıca geçmek.
• Anahtar güvenlik özelliklerini hiç açmamak.