ARP 欺騙 (ARP Spoofing/Poisoning) 利用 ARP 協定無驗證機制，在區域網發起中間人攻擊、流量劫持、DoS。本文從協定幀層面還原攻擊全過程，並構建「偵測-阻斷-溯源-處置」四位一體工程級防範體系。

攻擊原理：以太網幀與 ARP 封包的「雙重身份」漏洞

場景建模

• Host A (受害者) : IP 192.168.10.1, MAC AA:AA:AA:AA:AA:AA
• Host B (攻擊者) : IP 192.168.10.2, MAC BB:BB:BB:BB:BB:BB
• Host C (目標/網關) : IP 192.168.10.3, MAC CC:CC:CC:CC:CC:CC

攻擊流程

1. B 偽造 ARP 回應封包：
   發送者 IP = 192.168.10.3 (C 的 IP)
   發送者 MAC = DD:DD:DD:DD:DD:DD (偽造 MAC，非 B 自身 MAC)
   目標 IP = 192.168.10.1 (A 的 IP)
   目標 MAC = AA:AA:AA:AA:AA:AA
2. 封包封裝在以太網幀中：
   幀頭 來源 MAC = BB:BB:BB:BB:BB:BB (B 真實 MAC)
   幀頭 目的 MAC = AA:AA:AA:AA:AA:AA (A MAC)
   關鍵點：幀頭來源 MAC (B) ≠ ARP 封包發送者 MAC (偽造 DD) — 此為偽造鐵證。
3. A 收到幀，解封 ARP 回應，更新本地 ARP 快取：
   192.168.10.3 → DD:DD:DD:DD:DD:DD (無效 MAC)
4. A 後續發往 C 的流量：目標 MAC = DD:DD:DD:DD:DD:DD → 交換機無此 MAC 表項 → 流量黑洞 → 通訊中斷。
5. 若 B 持續向網關發送偽造 ARP，將導致全網段通訊癱瘓 (DoS)。

偽造痕跡與偵測點

工程級四層防範體系

L1: 基礎設施加固 — 靜態綁定與 DHCP 管控

• DHCP 伺服器部署於網關： 統一分配、綁定 IP-MAC，每張網卡固定 IP，杜絕 IP 漂移。
• 網關啟用靜態 ARP 綁定：
  建立 /etc/ethers：
  192.168.2.32 08:00:4E:B0:24:47
  啟動腳本 /etc/rc.d/rc.local 添加：
  arp -f /etc/ethers
  效果：網關 ARP 快取不可被動態更新，免疫欺騙。
• 核心交換機開啟 DAI (Dynamic ARP Inspection) + IP Source Guard： 硬體級驗證 ARP 合法性、過濾偽造來源 IP 流量。

L2: 全網 MAC 資產庫 — 知己知彼

• 掃描/採集全網設備 MAC、IP、物理位置、歸屬人、設備類型入庫 (CMDB)。
• 新設備入網強制登記，未登記設備進隔離 VLAN。

L3: 網關流量監聽與自動化分析

• 網關跑 tcpdump -i eth0 -nn -e arp 持續抓取 ARP 流量。
• 腳本即時分析：
  ① 幀頭 Src MAC ≠ ARP Sender MAC → 高危告警
  ② ARP Sender IP/MAC 不在資產庫 / 與資產庫不符 → 高危告警
  ③ 短時大量 Gratuitous ARP → DoS 告警
• 告警推送至 SIEM/運維群，攜帶：攻擊源 MAC、對應交換機埠、時間戳、原始封包。

L4: 現場溯源與處置閉環

1. 依交換機埠定位物理位置/設備。
2. 現場核實：人為植入工具？還是中毒/被控？
3. 若為中毒：拔網線不關機 → 保留記憶體/進程/計劃任務證據 → 取證分析 → 重灌系統。
4. 若為人為：依公司資安政策懲處，並補課安全意識培訓。
5. 事後複盤：更新資產庫、調整基線、優化告警規則。

總結

ARP 欺騙本質是「以太網幀來源地址與 ARP 封包宣稱地址分離」的協定缺陷。單一防禦手段 (僅靜態綁定/僅偵測) 均有繞過風險。靜態綁定守住網關、DAI 守住接入層、資產庫守住身份、流量分析守住異常、現場處置守住證據 — 五層疊加，構建纵深防禦。網管者應將此體系納入網路基線建設標準，而非事後補救。