位址解析協定：功能、類型與安全性

什麼是位址解析協定 (ARP)？

位址解析協定 (ARP) 在本機網路中，於沒有任何驗證機制的情況下，將 IP 位址轉換為 MAC 位址。若要將流量傳送至同一網段上的某個 IP 位址，系統需要對應的硬體 MAC 位址，才能在第 2 層傳遞封包。ARP 會廣播請求，詢問 "誰擁有 IP 位址 X.X.X.X？" 系統會接受來自任何裝置且未經驗證的回應，使攻擊者得以宣稱擁有任何 IP 位址並重新導向流量。

當系統需要與本機網路上的另一台裝置通訊時，例如存取內部檔案伺服器或透過預設閘道傳送流量，除非先前的 ARP 解析已快取所需的 MAC 位址，否則此程序會自動發生。RFC 826 是 1982 年發布的協定規格，定義了 ARP 如何解決第 3 層（網路層）與第 2 層（資料連結層）之間根本的位址對應不一致問題。

位址解析協定與網路安全的關聯

ARP 不提供驗證、加密或驗證機制。這種不受信任的設計讓攻擊者能夠毒化 ARP 快取，而不會觸發任何協定層級的驗證。

NIST CVE-1999-0667 確立了這項基礎漏洞：「ARP 協定允許任何主機偽冒 ARP 回覆並毒化 ARP 快取，以進行 IP 位址偽冒或阻斷服務。」這不是可透過修補程式解決的實作錯誤；協定設計本身需要補償性控制措施。

MITRE ATT&CK Technique T1557 記錄了具備網路存取權限的對手如何利用 ARP 偽冒所促成的 adversary-in-the-middle 攻擊，即時操控流量。透過毒化 ARP 快取將自己置於系統之間的攻擊者，能完全繞過第 3 層安全控制。像是 Dynamic ARP Inspection 這類第 2 層控制會在來源端驗證封包，而 行為分析 以及在第 3 層與更高層級進行監控，則可識別成功 ARP 偽冒後發生的憑證竊取與 橫向移動。 SentinelOne's Singularity platform 透過將網路層異常與端點活動模式連結，提供這種行為關聯。促成橫向移動的 ARP 偽冒會觸發 Purple AI 識別可疑的驗證與程序執行序列，顯示存在進行中的入侵。

CISA 在關鍵基礎設施與工業控制系統中記錄了 ARP 漏洞，凸顯 超越 IT 網路的風險。此協定的普遍性意味著，只要攻擊者取得本機網路存取權，就存在可利用的機會，而第 3 層安全控制無法阻止同一廣播網域內的第 2 層攻擊。

真實世界的攻擊展示了這些協定層級的漏洞。在 2013 年 Target 資料外洩事件 中，攻擊者在透過 HVAC 供應商憑證取得初始存取權後，利用 ARP 偽冒來繪製內部網路並促成橫向移動。這些偵察與網路定位行為導致 4,000 萬筆信用卡紀錄與 7,000 萬筆客戶紀錄遭竊，造成 總成本達 2.02 億美元。在 2015 年烏克蘭電網攻擊期間，APT 行動者在部署 BlackEnergy 惡意軟體之前，使用魚叉式網路釣魚與網路偵察。這起多階段攻擊影響了三家能源配送公司共 225,000 名客戶，如 ICS-CERT 報告所記錄。

要理解這些協定層級的漏洞，需要檢視使 ARP 自動位址解析成為可能的技術元件。

位址解析協定的核心元件

有四個元件負責處理 ARP 解析，而每一個都代表一個潛在的 攻擊面。取得本機網路存取權的攻擊者可以操控其中任何一個來重新導向流量：

• ARP 快取表： 大多數 IPv4 網路裝置都會維護 ARP 快取，以儲存最近的 IP 對 MAC 位址對應，其中包含從 ARP 回應學習到的動態項目，以及在某些裝置上可手動設定的靜態項目。
• ARP 請求封包： 當系統需要本機子網路上某個 IP 的 MAC 位址時，會廣播包含來源 IP 與 MAC 位址，以及欲查找之目標 IP 位址的 ARP 請求。
• ARP 回覆封包： 擁有所請求 IP 位址的裝置會直接向請求者的 MAC 位址傳送單播 ARP 回覆，其中包含目標的 MAC 位址，讓提出請求的系統得以更新其 ARP 快取。
• 廣播網域： VLAN 架構定義了 ARP 運作所在的第 2 層廣播網域，而請求不會跨越路由器或第 3 層邊界。

了解這些元件有助於您辨識 ARP 偽冒攻擊會在解析流程中的何處介入。

位址解析協定如何運作

解析流程遵循可預測的順序，並可在封包擷取中看見。

1. 位址解析需求與廣播請求： 某個應用程式需要與本機子網路上的 10.1.1.50 通訊。系統會先檢查 ARP 快取。若不存在有效項目，便會向 MAC 位址 FF:FF:FF:FF:FF:FF 廣播 ARP 請求，詢問 "誰擁有 10.1.1.50？請告知 10.1.1.25"（請求的 IP 位址）。
2. 目標回應與快取填入： IP 為 10.1.1.50 的裝置會識別其位址，並傳送包含以下內容的單播 ARP 回覆 "10.1.1.50 位於 MAC 位址 00:0c:29:3f:47:8a。" 請求系統會以新的 IP 對 MAC 綁定更新其 ARP 快取，並繼續原始通訊。
3. Gratuitous ARP： 系統也會在介面初始化或 IP 位址變更時傳送非請求的 ARP 宣告。攻擊者會利用此行為，傳送惡意的 gratuitous ARP 訊息，在不等待合法請求的情況下毒化快取。

自動解析可帶來營運效益，但缺乏驗證機制也產生了您的團隊必須管理的安全權衡。

位址解析通訊協定的主要優點

ARP 會處理 IPv4 網路所需的位址轉換，以便在邏輯 IP 位址與實體硬體之間路由封包：

• 自動位址解析： 管理員無須為數千台裝置手動將 IP 位址對應至 MAC 位址。ARP 會透明地處理此轉換。
• 動態網路調適： 硬體變更與 IP 位址重新指派會觸發 ARP 自動更新整個網路中的綁定。
• 路由功能： 裝置會使用 ARP 來定位所有跨子網路流量所需的預設閘道 MAC 位址。
• 網路效能： ARP 快取可避免每個封包都持續進行廣播，從而降低網路負擔。

使 ARP 自動化的相同性質，也讓它容易遭到利用。

位址解析通訊協定的挑戰與限制

此通訊協定的設計帶來需要關注的安全與營運挑戰。每項弱點都源自 ARP 從根本上缺乏驗證機制。

零驗證

RFC 826 規定裝置會接受來自任何來源且未經驗證的 ARP 資訊。這種無信任設計早於涉及內部威脅與橫向移動的現代威脅模型。區域網路上的任何裝置都可以宣稱擁有任何 IP 位址，而此通訊協定未提供驗證該宣稱的機制。

現代架構中持續存在的弱點

IEEE 對軟體定義網路的研究 證實即使在現代 SDN 架構中，ARP 弱點仍然存在。儘管安全性已演進數十年，此基礎通訊協定並未改變。虛擬化環境、鄰近雲端的網路，以及軟體定義基礎架構，都承襲了相同的第 2 層弱點。

廣播風暴風險

NIST CVE-2022-27640 記錄了真實世界中的利用案例，其中受影響裝置未正確處理過量的 ARP 廣播請求。攻擊者會利用此行為，透過 ARP 洪泛造成阻斷服務狀況。當交換器難以處理洪泛流量時，網路可用性會下降，並可能掩蓋同時發生的其他惡意活動。

保護範圍有限

防火牆、入侵防護系統與網路存取控制運作於第 3 層及以上。ARP 運作於第 2 層，因此這些控制無法防止同一廣播網域內的 ARP 欺騙。取得單一網路區段存取權的攻擊者可以執行 ARP spoofing，而不會觸發周邊防禦。

快取毒化攻擊面

關於 man-in-the-middle attacks 的同儕審查研究顯示，MitM-ARP spoofing 攻擊通常以線上銀行服務或其他個人線上服務為目標。即使已有預防控制，若快取毒化仍然成功，SIEM 平台與行為分析工具也會透過分析顯示遭入侵的模式，識別後續的憑證竊取與橫向移動。 

像這樣的平台 SentinelOne 會透過行為 AI 識別這些入侵後模式，辨識成功 ARP 攻擊後出現的異常驗證、程序執行與檔案存取，從而在攻擊者達成其目標之前啟用自主回應。即使具備這些偵測能力，常見的實作錯誤仍會使網路暴露於風險之中。

常見的位址解析通訊協定錯誤

安全團隊經常犯下會使保護措施失效的實作錯誤。了解這些陷阱有助於您在部署期間避免重蹈覆轍。

缺少 DHCP Snooping 基礎

您啟用了 Dynamic ARP Inspection (DAI)，卻忘了先決條件。企業交換器廠商的設定指引指出，DAI 需要先在全域啟用 DHCP snooping。若沒有 DHCP snooping 綁定資料庫，DAI 就無法驗證 ARP 封包。

錯誤的信任邊界設定

設定錯誤的信任邊界未將 DHCP 伺服器連線或上行連接埠標記為受信任。合法的 DHCP 流量會遭到封鎖，導致網路中斷並產生誤判。

未建立綁定的靜態 IP 裝置

DAI 已針對 DHCP 指派的位址啟用，卻忽略了使用靜態 IP 的伺服器、印表機與基礎架構裝置。企業網路交換器文件指出，DAI 需要為非 DHCP 裝置建立靜態 IP 綁定項目。略過此步驟會導致合法的靜態 IP 裝置無法通過 DAI 驗證，並失去網路連線能力。

忽略日誌分析

DAI 在無人監控安全事件日誌的情況下運行。攻擊會在未被察覺的情況下持續進行，因為沒有人檢視顯示主動 ARP spoofing 嘗試的 DAI 驗證失敗與 ARP 封包丟棄事件。

將 DAI 日誌匯入其 SIEM platforms 並與來自以下解決方案的端點遙測資料進行關聯分析的安全團隊，例如 SentinelOne Singularity，可獲得將第 2 層攻擊與憑證濫用及橫向移動連結起來的情境脈絡。原始 ARP 驗證失敗事件可轉化為具備自主回應能力的可行動威脅情報。

避免這些錯誤需要依照正確順序遵循以標準為基礎的部署實務。

Address Resolution Protocol 最佳實務

以標準為基礎的防護需要依正確順序實作分層式安全控制。以下實務可在維持網路功能的同時，於交換器層級處理 ARP 漏洞。

正確實作 Dynamic ARP Inspection

企業網路交換器廠商文件確認，DAI 會透過檢查 LAN 上的 ARP 封包，並根據 DHCP snooping 資料庫項目進行驗證，來保護交換器免受 ARP spoofing 與 poisoning 攻擊。系統會根據 MAC-IP 綁定驗證 ARP 封包，並丟棄從不受信任連接埠進入的無效封包。

遵循必要的設定順序

NIST Special Publication 800-215 著重於安全遠端存取與 SASE 架構。來自企業交換器製造商的官方廠商技術文件建議先設定 DHCP snooping，包括將面向伺服器與上行鏈路的連接埠標記為 DHCP-trusted。接著依 VLAN 啟用 DHCP 檢查、為非 DHCP 裝置建立靜態 IP 綁定，並依 VLAN 啟用 Dynamic ARP Inspection，從測試區段開始。

維護靜態 IP 綁定表

每一台使用靜態 IP 位址配置的伺服器、網路設備、印表機與 IoT 裝置，都需要在 DAI 設定中建立手動綁定項目。在實作期間記錄這些裝置，並在基礎架構變更時更新綁定。

設定速率限制

為每個介面設定適當的 ARP 封包速率限制，以防止利用檢查程序的阻斷服務攻擊。根據您環境中的基準 ARP 流量模式設定閾值，並遵循廠商建議；廠商可能建議以每個介面每秒 15 個封包等數值作為起點，但最終仍應依您的網路量身調整。

分割您的網路架構

適當的網路分段可確保某一子網路中的攻擊不會影響不同區段中的裝置。ARP 在廣播網域內運作，因此架構分段可限制攻擊擴散，並降低每個網路區段的攻擊面。

與 SIEM 整合以進行監控

企業交換器廠商文件指出，DAI 日誌包含來源 MAC 位址、VLAN、IP 位址與時間戳記。將這些日誌匯入您的 Security Information and Event Management 系統，以便與其他安全事件進行關聯分析，並分析顯示協同攻擊活動的模式。像 SentinelOne Singularity 這樣的安全平台會將與 ARP 相關的安全事件與驗證失敗及橫向移動指標進行關聯，將第 2 層攻擊與業務影響連結起來。

部署互補的第 2 層安全防護

實作連接埠安全性以限制每個實體連接埠的 MAC 位址、設定 BPDU Guard 以防止 spanning tree 攻擊，並啟用 DHCP snooping 速率限制。這些控制會與 DAI 協同運作，在資料鏈結層建立縱深防禦。

預防性控制奠定基礎。在預防失效時識別攻擊，才能完善安全架構。

使用 SentinelOne 阻止 ARP 攻擊

繞過 Dynamic ARP Inspection 或在缺乏第 2 層防護的網路區段中活動的攻擊者，會暴露出可視性缺口。您的安全架構需要在與 ARP 相關的異常與端點行為之間建立關聯。SentinelOne Singularity 透過分析網路事件與端點遙測資料，提供這種跨層關聯，識別成功 ARP spoofing 攻擊後隨之而來的憑證竊取、權限提升與橫向移動。

此 Singularity platform 解決了第 2 層網路控制與第 3 層以上安全工具之間的根本落差。DAI 在交換器層級運作以封鎖偽造的 ARP 封包，但對於在未受保護區段中成功毒化快取，或在控制部署前的空窗期內得逞的攻擊者，則需要行為分析。 Purple AI 會將異常驗證模式、可疑程序執行與異常檔案存取，與網路層事件進行關聯。由您的交換器記錄的 ARP 異常，會連結到端點上實際發生的憑證濫用行為。

Purple AI 透過自動將網路異常與端點驗證模式進行關聯，縮短與 ARP 相關的調查時間。Purple AI 不必手動調查數千筆 DAI 日誌項目，而是識別哪些與 ARP 相關的事件先於實際入侵行為發生：使用遭竊 NTLM 雜湊進行的 Windows 驗證、PowerShell 偵察命令，或未經授權的檔案共用存取。

該平台的自主回應能力可阻止橫向移動，而不受初始攻擊向量影響，透過隔離遭入侵端點、封鎖可疑程序，以及防止 data exfiltration，在攻擊者達成其目標之前加以阻止。對於管理第 2 層控制部署不一致之混合環境的安全團隊而言，Singularity 無論來源為何，都能識別真正重要的入侵後行為。由於平台會優先處理具有實際業務影響的事件，因此警示疲勞會降低。

申請 SentinelOne 示範 以了解 Singularity 如何找出基於 ARP 的橫向移動，並透過自主回應阻止憑證竊取。

AI-Powered Cybersecurity

Elevate your security posture with real-time detection, machine-speed response, and total visibility of your entire digital environment.

Get a Demo

重點整理

ARP 缺乏驗證的設計不會改變。您的防禦需要分層控制：在交換器層級部署 DHCP snooping 與 Dynamic ARP Inspection、透過網路分段來遏制攻擊，以及透過行為分析捕捉預防措施遺漏的威脅。

依序部署控制，先從 DHCP snooping 開始，再啟用 DAI。將 DAI 日誌匯入您的 SIEM，並與端點遙測資料進行關聯分析。接受某些區段將缺乏防護的現實，並據此建立偵測能力。通訊協定漏洞需要架構層級的安全性，而非通訊協定修補。