什麼是 ARP 欺騙？風險、偵測與預防

ARP 欺騙，也稱為 ARP 毒化，是最常見的網路攻擊形式，攻擊者會透過此方式向本機網路傳送偽造的 ARP 訊息。其主要目的是將攻擊者的 MAC 位址與原始主機的 IP 位址建立關聯。通常，這會與閘道或其他裝置相關聯。這種攻擊方法可讓攻擊者攔截、竄改，甚至阻斷網路裝置之間的流量，進而造成嚴重的安全風險。根據 the應用網際網路資料分析中心 (CAIDA)，近 30,000 次欺騙攻擊 每天發生，凸顯出此類網路威脅的規模與頻率。

本文涵蓋 ARP 欺騙的所有內容，包括其定義、目的、技術運作方式、類型與影響。本文也說明如何識別 ARP 快取毒化攻擊的流程，以及如何建立有效的安全措施來因應由此類攻擊所產生的威脅。

什麼是 ARP 欺騙（ARP 毒化）？

ARP 欺騙，通常也稱為 ARP 毒化，是一種中間人攻擊，其前提是 ARP 通訊協定缺乏驗證機制。ARP 會將 IP 位址轉換為 MAC 位址，讓 LAN 中的裝置彼此通訊。在 ARP 欺騙中，駭客會傳送惡意的 ARP 回覆，欺騙裝置將其資料傳送到由駭客控制的錯誤 MAC 位址。

ARP 欺騙攻擊的目的

在網路安全中的 ARP 欺騙 攻擊中，攻擊者會傳送偽造的 ARP 訊息。ARP 訊息包含攻擊者與受害者雙方的 MAC 位址。這些訊息會誤導不同裝置，讓它們將合法的 IP 位址與攻擊者的 MAC 位址建立關聯。

ARP 欺騙攻擊的基本目標是攔截、操縱或中斷裝置之間的網路流量。基於此，攻擊者會進行如下所述的各種惡意活動：

• 竊聽：當攻擊者發動 ARP 欺騙攻擊時，他們會攔截穿越網路的資料封包。接著，他們便能悄悄存取登入憑證、財務資料與個人通訊等敏感資訊。這可說是最危險的竊聽形式，因為在未加密的網路中，私人資料很容易被存取與濫用。
• 資料竄改：ARP 欺騙不只是單純攔截資料；事實上，它會在資料封包傳輸途中變更其內容。這包括修改訊息、將惡意程式碼注入資料封包，以及毀損檔案。例如，攻擊者可能會變更金融交易或修改通訊中的關鍵資訊，進而破壞資料完整性以及使用者或系統的信任。
• 阻斷服務 (DoS)：此手法也可作為 DoS 攻擊，用來造成正常網路作業中斷。偽造 ARP 回應可能會淹沒網路中的特定裝置，或將流量導向未知或錯誤的目的地。這會導致嚴重延遲、服務中斷，甚至使個人或組織完全無法使用網路服務。

什麼是 ARP 通訊協定？

ARP 通訊協定是每個網路裝置的一部分，透過它可將本機網路中的任何 IP 位址解析為對應的 MAC 位址。每當裝置需要與另一個裝置通訊時，便會傳送 ARP 請求詢問：「誰擁有這個 IP 位址？」擁有該 IP 的裝置會以其 MAC 位址回應。

這使資料封包能夠抵達網路中的目標實體裝置。不幸的是，ARP 原生並不具備安全機制。因此，它很容易受到 ARP 欺騙攻擊。

ARP 欺騙攻擊對網路安全的影響

ARP 欺騙的影響遠不只是單純的中斷，整體而言可能對個人與組織構成嚴重威脅。此類活動所造成的損害，包括資料竊取、連線中斷或其他形式的損失，一旦發生，往往難以完全復原。

• 資料竊取： 攻擊者可以竊取密碼與其他登入憑證、私人訊息內容以及其他財務資訊。當這類網路未加密時，情況尤其危險。在此情況下，資料外洩會暴露機密或專有資料，並對企業造成聲譽與法律損害。
• 網路中斷： 包括 ARP 表遭破壞或流量被重新導向／封鎖在內的惡意網路攻擊，會拖慢流程並導致中斷，以及造成阻斷服務攻擊，進而導致與業務相關的營運停機、生產力損失，以及可能的服務中斷。
• 惡意軟體散布： 攻擊者可以將惡意程式碼注入遭攔截的流量中，進而導致網路內部感染惡意軟體。這可能造成大規模感染、資料毀損，以及進一步的安全事件。

ARP 欺騙的類型

了解現有的 ARP 欺騙攻擊類型，對網路管理員與安全專業人員而言相當重要，因為這能讓他們有效防禦其網路免受此類攻擊。除了常見的一般方法外，還有不同類型的欺騙攻擊，包括：

1. 基本 ARP 欺騙： 攻擊者會向裝置傳送偽造的 ARP 回覆，接著該裝置便會將攻擊者的 MAC 位址與合法 IP（例如閘道或網路中的另一個裝置）建立關聯。之後，攻擊者便可攔截前往該 IP 的流量，甚至在受害者毫不知情的情況下操縱資料。
2. 中間人 (MitM) ARP 欺騙：  攻擊者會透過偽造 ARP 回應，試圖將自己插入兩個正在通訊的裝置之間，使雙方裝置都以為自己是在直接與對方通訊。如此一來，他便能攔截，甚至變更交換中的資料內容。他可能會修改通訊內容、竊取敏感資訊，或僅僅是在流量中插入惡意程式碼。
3. ARP 洪泛（阻斷服務）： 攻擊者會以大量偽造的 ARP 回覆淹沒網路，不惜一切代價使裝置中的 ARP 表不堪負荷，導致無法維持合法項目。因此，裝置無法正常通訊，成為 DoS 狀態的受害者，使網路部分區段癱瘓或無法使用。
4. ARP 快取毒化： 攻擊者可以傳送未經請求的偽造 ARP 回覆，以更新裝置 ARP 表中的快取，讓合法的 IP 對 MAC 對應關係被錯誤項目覆寫。接著，攻擊者便可將流量重新導向自己或惡意機器，以利進一步發動攻擊，例如資料攔截、DoS 或網路操縱。在大多數系統中，這種狀態會持續存在，直到手動清除或裝置重新開機為止。

ARP 欺騙如何運作？

使用 ARP 欺騙的攻擊者通常會依循一連串步驟，以有效執行攻擊。了解這些步驟有助於設計針對此類攻擊的偵測與預防機制。

1. 掃描：ARP 欺騙攻擊的初始步驟是掃描網路以尋找目標 IP 位址。掃描一開始，攻擊者會使用可描述網路基礎架構的工具，以找出作用中的裝置及其 IP 位址。因此，掃描階段有助於攻擊者蒐集與網路拓撲相關的有用資訊，例如識別可能的目標：路由器、伺服器，或其他可能持有敏感資料的裝置。掌握這些佈局知識後，攻擊者便會部署其攻擊，以達到最大影響。
2. ARP 欺騙：一旦找到目標裝置，攻擊者就會廣播偽造的 ARP 回覆。此偽造訊息會使裝置誤以為攻擊者的 MAC 位址就是受信任主機的 IP，例如閘道或網路上的另一個系統。若使用專門為此目的而設計的工具，ARP 欺騙同樣可行，這些工具可加快並提升欺騙的效果。該動作會使受害裝置更新其 ARP 快取，確保攻擊者的 MAC 位址與受信任的 IP 位址相關聯，從而允許重新導向原本要傳送至該主機的流量。
3. 流量攔截： 由於目標裝置會使用惡意 MAC 位址重新整理其 ARP 快取，因此所有前往合法主機的流量都可能被攻擊者透明地攔截。攻擊者因此可以攔截裝置之間流動的資訊串流、讀取內容，甚至在同一階段中於不被發現的情況下加以竄改。在這個階段，不必要地暴露的使用者名稱、密碼或機密訊息都可能遭竊，對個人與組織都構成風險。
4. 封包轉送（選用）：攻擊者現在可能會選擇將攔截的流量轉送至其實際目的地。這可作為維持網路中作業正常表象的一種手段，從而提高偵測攻擊的難度。因此，攻擊者可透過轉送封包來掩蓋服務中斷，進而能夠將攻擊持續更長時間。這不僅有助於攻擊者保護自身安全，也會提高其竊取更多敏感資訊，甚至操縱當時正在進行之通訊的機會。

了解 ARP 欺騙技術對預防至關重要。 Singularity Endpoint Protection 可保護您的端點免受這些威脅。

誰會使用 ARP Spoofing？

ARP spoofing 是一種幾乎所有攻擊者都會發動的攻擊類型，各自基於不同的原因與目的。了解發動 ARP spoofing 攻擊的各類行為者，可能有助於判斷網路所面臨威脅的性質，並可深入了解此類攻擊背後不同層級的複雜程度。

以下是使用 ARP spoofing 技術的主要威脅行為者類別。

1. 網路犯罪分子： 網路犯罪分子或許是 ARP spoofing 最惡名昭彰的使用者。他們的主要動機是財務利益，因為他們可以尋找並竊取敏感資訊，其中可能包括個人身分識別資訊、登入憑證以及信用卡資訊。一旦取得，蒐集到的資料將會在暗網上出售，或用於與身分竊盜、詐欺及其他事項相關的非法用途。因此，駭客會使用這種稱為 automated 的工具來執行 ARP spoofing 攻擊。
2. 駭客行動主義者： Hacktivists出於政治或意識形態原因使用 ARP spoofing。他們的目標通常包括攔截通訊以揭露所犯下的不公、停用服務，或執行訊息。這些駭客行動主義者會鎖定他們視為敵人的組織或個人，而在其行動過程中，他們可能會蒐集並洩露敏感資訊，或藉由使用 ARP spoofing 讓其訴求受到關注。對目標組織造成的損害程度通常會引發公關危機與聲譽損失。
3. 國家級行為者： 國家級行為者會執行 ARP spoofing，以入侵和監視敏感的政府或企業通訊。他們資源充足，並且了解如何以高準確率執行複雜的 ARP spoofing 攻擊。在 ARP spoofing 攻擊中，他們會攔截關鍵個人或組織之間的通訊，以擷取有價值的情報、監控政治或軍事活動，並危害其競爭國家或組織。

如何偵測 ARP Cache Poisoning 攻擊？

偵測 ARP cache poisoning 對整體網路安全至關重要，因為這些攻擊往往會在相當長的一段時間內不被察覺。透過仔細觀察與智慧異常偵測技術，即可實現偵測。以下是一些可偵測 ARP spoofing 活動的重要方法：

1. ARP 監控： 持續監控 ARP 流量有助於捕捉異常。透過檢視流經網路的 ARP 封包，管理員可以發現不一致之處，例如多個 MAC 位址對應到相同的 IP 位址。這可能表示發生 spoofing，因為合法的網路組態會維持 IP 位址與 MAC 位址之間的一對一對應。ARP 監控工具可將此流程自動化，並即時向管理員發出可疑活動警示。
2. Gratuitous ARP 偵測： Gratuitous ARP 訊息是裝置主動送出的 ARP 回應，用來宣告其 IP 位址到 MAC 位址的對應關係。此類未經請求回應若突然大量出現，可能表示有人企圖進行 ARP spoofing。可使用監控工具追蹤 Gratuitous ARP 封包。當此類封包突然激增時，就有理由進一步調查。異常偏高的 Gratuitous ARP 流量也可能表示潛在攻擊，並可在流程早期加以識別。
3. 流量分析：分析網路流量中不尋常的模式或裝置之間非預期的資料流，是另一種有效的偵測方法。透過檢查流量的數量、時間點與方向，網路管理員可以識別可能暗示正在進行中的 ARP spoofing 攻擊的異常情況。例如，如果某個裝置突然從多個來源接收到異常大量的流量，這可能表示其通訊已遭到攔截。入侵偵測系統 (IDS) 可透過標記可疑的流量模式以供進一步審查，協助進行此分析。

如何保護您的系統免受 ARP Spoofing 影響？

ARP spoofing 需要採取前瞻性方法，納入預防與偵測控制。多層式方法應可大幅降低成功執行 ARP spoofing 攻擊的機率。以下是幾項非常有效的措施：

1. 靜態 ARP 項目：  關鍵裝置的靜態 ARP 項目可防止未經授權的 ARP 回應被接受。管理員會手動設定 IP 到 MAC 的對應。因此，網路上只會識別已知且受信任的裝置。其一大缺點是需要投入管理作業，而且在大型網路中不可行。這可為敏感裝置增加保護。
2. 封包過濾： 網路交換器上的封包過濾可立即阻止惡意 ARP 封包，因為未被識別與未經授權的裝置會因其 ARP 流量而受到規則限制。由於來自未經授權裝置的任何可能 ARP 回應都無法到達其預定地址，因此偽造封包進入網路的風險會大幅降低。
3. 使用虛擬私人網路 (VPN)： 透過 VPN 加密通訊可保護敏感資料，即使遭到攔截亦然。透過使用 VPN，資料會被封裝並加密，使攻擊者難以解讀任何遭攔截的流量。這層額外保護可確保資訊完整性，即使 ARP spoofing 讓攻擊者得以攔截流量，資訊仍可免於未經授權的存取。

ARP Spoofing 攻擊預防最佳實務

採用多項有助於提升網路安全性的最佳實務，可有效降低 ARP spoofing 攻擊發生的機率。這些措施可透過強化對潛在威脅的防禦，大幅降低各種弱點。以下說明部分 ARP Spoofing 攻擊預防最佳實務：

1. 實作 Dynamic ARP Inspection (DAI)：Dynamic ARP Inspection 是許多網路交換器上提供的安全功能之一，可協助即時攔截並檢查 ARP 封包。DAI 可透過將 ARP 封包與受信任的 IP 對 MAC 位址對應資料庫進行比對，在惡意封包被預定接收者接收之前偵測可疑的 ARP 回應攻擊。這種主動式作法可確保網路不會讓 ARP 欺騙攻擊有機會在網路中立足，因為只有適當的 ARP 流量才會被允許通過。
2. 監控網路流量：應始終分析週期性的網路流量，以找出任何可能導致 ARP spoof 的異常行為。網路管理員會留意異常模式，例如 ARP 對應出現非預期變更，或裝置中出現不規則的流量流向。正確部署網路監控解決方案，可確保組織監控其流量模式活動、偵測可疑活動，並快速回應。這種主動式監控方法可維持環境安全，並在攻擊發動時實現快速回應。
3. 啟用加密通訊協定：任何形式的傳輸都必須使用安全通訊協定（例如 HTTPS、SSH 和 VPN）對資料進行加密，讓攻擊者無法攔截並竄改資料。加密可確保即使攻擊者能夠攔截網路流量，若沒有解密金鑰，也無法讀取其中內容。強制要求對所有敏感通訊進行加密，將可在與資料外洩相關的情況下抑制此類攻擊的影響。將良好的加密實務與其他措施結合，有助於確保網路通訊具備強健的安全性，並保護敏感資訊免於未經授權的存取。

結論

ARP 欺騙是對網路安全構成最關鍵威脅之一，主要原因在於它會干擾裝置之間資料流量的資訊攔截、竄改與中斷。了解這類欺騙的運作機制、其帶來的固有風險，以及用於偵測與防範的方法，是組織在保護其網路免受此類攻擊時的一些必要步驟。透過實施最佳實務——例如使用靜態 ARP 項目、運用動態 ARP 檢查（DAI），以及進行網路分段——組織可以大幅降低其遭受 ARP 欺騙的風險。