ARP 協定基礎

• IPv4 區域網路核心協定：將 **IP 位址 (L3) 解析為 MAC 位址 (L2)**。
• 每台主機維護 **ARP 快取表**（`arp -a` 查看），記錄近期 IP-MAC 映射，老化機制自動清除閒置項目。
• 流程：查表 → 命中封裝發送；未命中 → 廣播 ARP Request → 目標回覆 ARP Reply → 更新快取 → 發送資料幀。

ARP 攻擊 (ARP Spoofing/Poisoning)

• 攻擊者持續發送偽造 ARP Reply，將受害者快取表中「閘道 IP → 攻擊者 MAC」、「受害者 IP → 攻擊者 MAC」。
• 結果：**中間人攻擊** (MITM) 截獲/竄改流量、**DoS** 導致網路斷線、**會話劫持** 竊取 Cookie/憑證。
• 受害主機 ARP 快取表被污染（圖示）。

四大防範策略（由淺入深）

1. 雙向綁定 (Static ARP)： 閘道與終端雙邊手工/腳本寫死 IP-MAC。優點：簡單有效；缺點：維護成本高、DHCP 環境不適用、無法防禦交換機層面攻擊。
2. 主機端 ARP 防火牆： 360/天網/Comodo 等鎖定閘道 MAC。風險：若初始網路已被污染，會綁定錯誤 MAC，反而助長攻擊。
3. VLAN 劃分 + 交換機 Port Security： 縮小廣播域、MAC 地址學習後鎖定 Port-MAC 綁定、啟用 **DHCP Snooping + Dynamic ARP Inspection (DAI)** 驗證 ARP 封包合法性。**企業級首選方案**。
4. 網路存取控制 (NAC) + 802.1X： 裝置準入認證、姿態評估、動態 VLAN 指派，從源頭阻擋非授權裝置接入。

偵測與應急

• 監控 ARP 流量異常：大量 Gratuitous ARP、IP-MAC 衝突、單一 MAC 對應多 IP。
• 部署蜜罐/蜜網誘捕攻擊者，自動隔離可疑端口。
• 事件回應：清除快取 (`arp -d`)、重設交換機 Port Security、追溯攻擊源頭 MAC → 物理端口 → 人員。

ARP 弱點源於「信任網段內所有節點」，防禦核心在於**不信任、驗證、隔離、監控**四字箴言。