ARP防御篇-如何揪出“内鬼”并“优雅的还手”

一、ARP防御概述

黑客采用ARP软件进行扫描并发送欺骗应答，同处一个局域网的普通用户就可能遭受断网攻击、流量被限、账号被窃的危险。由于攻击门槛非常低，普通人只要拿到攻击软件就可以扰乱网络秩序，导致现在的公共网络、家庭网络、校园网、企业内网等变得脆弱无比。

所以，如何进行有效的ARP防御？作为普通用户怎么防御？作为网络/安全管理员又怎么防御？有哪些ARP防御软件？如果被ARP攻击了，如何揪出"内鬼"，并"优雅的还手"？

接下来，我们通过图解的方式来深入了解ARP防御原理与解决方案。

二、ARP防御原理与解决方案

在讲解ARP防御之前，我们先了解下ARP攻击最经典的一幕=>

当PC1询问PC2的MAC地址时，攻击者PC3返回ARP欺骗回应包：我的IP地址是IP2，MAC地址是MAC3。一旦PC1记录了错误的ARP映射，则发给与PC2的数据，都会落到PC3手里。

也就是说，ARP攻击的罪魁祸首便是这种"欺骗包"，若针对欺骗包的处理是不相信或不接收的话，则不会出现问题。处理这种欺骗行为我们没法提前在黑客端做手脚，因为"敌在暗处我在明处"。这样的话，我们就剩下两个解决方法：

①保证电脑不接收欺骗包

②保证电脑收到欺骗包之后不相信

目前网络安全行业现有的ARP防御方案，基本都是上面两个方法的具体实现。我们来看这张防御图

①当黑客发起ARP欺骗包时，会途径局域网里面的交换机或无线路由器等网络设备；

②如果网络设备能够识别这种欺骗包，并且提前丢弃掉，则电脑/手机端就不会被欺骗；

③如果网络设备没有拦截这种欺骗包，则电脑/手机端需要做安全防御，然后再丢弃。

简单来说，ARP防御可以在网络设备上实现，也可以在用户端实现，更可以在网络设备和用户端同时实现。接下来，我们先来了解下网络设备（例如这里的交换机）的防御技术。

上面这张图，展现的是交换机的ARP防御能力，当PC2发送ARP回应包时，交换机将其转发给PC1，而当PC3发送ARP回应包（欺骗）时，交换机直接丢弃。

但是，人家PC3上脸上又没有写着"hacker"，凭什么交换机要丢弃它的ARP回应包？凭什么判断它的包就是"欺骗"的呢？

接下来，就要给大家介绍下局域网安全里比较常用的防御技术，这种防御技术被称为DAI（Dynamic ARP Inspection）- 动态ARP检测，原理可以用两句话简单概括：

①交换机记录每个接口对应的IP地址和MAC，即port<->mac<->ip，生成DAI检测表；

②交换机检测每个接口发送过来的ARP回应包，根据DAI表判断是否违规，若违规则丢弃此数据包并对接口进行惩罚。

我们知道，PC3是在交换机的Port3、MAC地址是MAC3，IP地址是IP3，所以本地DAI表项内容是。当交换机从接口Port3收到ARP回应包，内容却是IP2和MAC3映射，即。

经判断，这个包就是虚假的欺骗包，交换机马上丢弃这个包，并且可以对接口做惩罚（不同设备的惩罚方式有所不同，可以直接将接口"软关闭"，直接将攻击者断网；也可以"静默处理"，仅丢弃欺骗包，其他通信正常）

上面这个动态ARP监测技术，可以说是目前防御ARP攻击最有效的方法之一。但是，作为初学者，大家可能还会有疑问：

①一般的交换机或网络设备能部署动态ARP监测技术吗？

②连接用户的交换机，怎么能识别IP地址信息呢？

③上面这张DAI表是如何生成的？是不是像CAM表一样能自动识别？

这里要给大家说个稍微悲伤一点的事实，大部分能支持这种动态ARP监测技术的交换机或者无线路由器，都基本是企业级的产品。即便是企业级交换机，具备局域网安全防御功能的设备，价格都要高出不少，所以很多中小型企业网或校园网，基本都愿意买"阉割版"网络接入产品，因为"能通就行"，至于安全性怎样，这是另外要考虑的问题。

所以，简单的交换机不具备动态ARP监测技术，即便市面上有带安全防御的网络产品，企业、学校、医院等大量网络，仍然在早期采购的时候，用的是比较基础版本的交换机。当然，随着网络与安全市场的激烈竞争和网络安全意识的增强，以后会越来越好。

另外，交换机能识别IP地址信息吗？

从现在的网络技术来看，分层界限越来越模糊，融合式的网络设备才是主流，现在的接入交换机基本能被Telnet/SSH/Web管理，更专业的交换机同时支持动态ARP监测（dai）、IP源防护（ipsg）、DHCP侦听（dhcp snooping）、端口安全、AAA、802.1x等局域网安全技术，已经超越了原有二层交换机的定义。

所以，交换机能读三层甚至七层的数据包已经不是什么新鲜事了，不要被"交换机就是二层设备"给束缚了，这只是纸面上的定义。

最后一个问题，DAI检测表是如何生成的？

在上面图解中，我们看到交换机查看的表已经不是原来的CAM表了，内容也不太一样，CAM表的内容主要是MAC和Port的映射，而DAI检测表则是Port、MAC、IP三个信息映射。

目前这张表支持两种方式来生成=>

第一种方式就是手工静态绑定：即用户接入网络之后，管理员根据此用户电脑的MAC和IP地址，然后在接口上绑死，缺点就是用户数太多的话，手工绑定管不过来。

第二种方式就是目前最主流的做法，即在交换机上开启DHCP侦听技术，当用户第一次通过DHCP获取到地址的时候，交换机就把用户电脑的IP、MAC、Port信息记录在DHCP侦听表，后面ARP检测直接调用这张DHCP侦听表即可。

小结：以上便是在网络设备上部署的ARP防御技术，通过动态ARP监测技术（DAI），可以很好的解决ARP欺骗问题。技术虽好，但局域网内的交换机、无线路由器是否支持DAI，这个则取决于实际网络情况，尤其是十面埋伏的公共WiFi网络、脆弱无比的家庭网络、能通就行的校园网络...... 我们都应该持怀疑态度，至少不能完全信任这些网络。

既然这样的话，普通用户有没有"自救"的方法，能够抵挡ARP攻击呢？答案是肯定的=>

对于普通用户，陌生网络不要随意接入，肯定是首选考虑的；当然，这里研究的是用户已经接入了网络，如何做安全防御的问题。从上图可以看到，用户（电脑或手机）最重要的便是通过安装ARP防火墙做安全防御，很多普通用户甚至“以电脑裸奔为豪，以骂安全厂商为荣”，这是对技术的严重藐视，对自己隐私的不负责任。普通小白一定要记住一句话：你没有被黑，只是你还没有到达被黑的价值。

ARP防火墙在技术实现上，一般都有以下功能：

①绑定正确的的IP和MAC映射，收到攻击包时不被欺骗。

②能够根据网络数据包特征（参考上一篇讲解的ARP攻击数据包溯源分析），自动识别局域网存在的ARP扫描和欺骗行为，并做出攻击判断（哪个主机做了攻击，IP和MAC是多少）。

那么，有哪些常见的ARP安全产品呢？

自带ARP防御功能：腾讯电脑管家、360安全卫士……

专业的ARP防火墙：彩影ARP、金山贝壳、360ARP防火墙……

采用安全产品肯定是普通用户最省时省力的做法，而对于技术人/工程师而言，如果不屑于使用安全产品，并且希望解决ARP攻击行为，也可以通过"ARP双向绑定"的技术来实现。什么是"ARP双向绑定"呢？ 

从上图可以看到，PC1和PC2通信双方都静态绑定对方的IP和MAC映射，即便收到ARP欺骗包，由于静态绑定的ARP映射条目优先级高于动态学习到的，所以可以保证不被欺骗。

这种做法非常"绿色无污染"，因为不需要额外的软件安装，但是缺点也非常明显，例如普通用户不知道如何在电脑上做ARP静态绑定，另外工作量也比较大，每个主机和网关设备都需要绑定整个局域网的ARP静态映射。以下面的家庭WiFi网络为例： 

像这个WiFi网络，如果通过ARP双向绑定来解决安全问题，配置量其实蛮大的，当然，这就基本能够保障内网主机间通过以及主机访问互联网的安全性了。

Windows arp静态绑定方法=>

①进入命令行cmd界面；

② [arp -s ip地址 mac地址]，例如：arp -s 192.168.1.1 00-11-22-a1-c6-09

注：家用无线路由器若要进行ARP绑定，则需要通过web登录并进行图形操作

小结：用户端的ARP防御方法，要么安装ARP防火墙，要么做ARP双向绑定。对于绝大部分用户来讲，虽然安装防火墙不是保证百分百安全了，但是能够解决很大一部分的隐患。

三、ARP防御总结

①ARP攻击非常低门槛，但是造成的影响却很大，包括断网攻击、流量被限、账号被盗等；

②ARP防御可以在网络端（网络设备）上部署，也可以在用户端（电脑/手机）上部署；

③网络设备（例如交换机）部署ARP防御，通常需要用到DAI（动态ARP监测）技术，更加专业的局域网安全防御，还可能结合DHCP侦听、IP源防护、端口安全、AAA、802.1X等技术，这些专业的防御技术，是由网络运维和安全运维工程师来实施的。

④用户端（电脑/手机）实施ARP防御，最好的方法就是不要随意接入陌生网络，并且安装ARP防火墙。当然，技术宅的话，可以采用"ARP双向绑定"的方法，相对比较麻烦，但是也奏效。