მთავარი დასკვნა
გადაამოწმეთ საეჭვო ARP ცვლილებები, გამიჯნეთ მომხმარებლებისა და მართვის სეგმენტები და მათ შორის მხოლოდ აუცილებელი ტრაფიკი დაუშვით.
გაყალბება სხვადასხვა შრეზე გვხვდება
გაყალბება სანდო წყაროს ბაძავს ადამიანის ან სისტემის მოსატყუებლად. ელფოსტის From ველები და საჩვენებელი სახელები, წყაროს IP მისამართები, DNS პასუხები, აბონენტის იდენტიფიკატორები და ლოკალურ ქსელში MAC მისამართები განსხვავებული სამიზნეებია და განსხვავებული მექანიზმები აქვთ. წყაროს გაყალბებულ IP‑ს შეუძლია შეტევის წარმომავლობა დამალოს ან სერვისის პასუხები მსხვერპლის მისამართზე მიმართოს; თავისთავად ის ორმხრივ სესიას არ ქმნის. BEC‑ს შეუძლია მსგავსი დომენი ან გატეხილი ნამდვილი საფოსტო ყუთი გამოიყენოს. მხოლოდ ნაცნობი საჩვენებელი სახელი ან IP მისამართების დასაშვები სია ვინაობას არ ადასტურებს.
შრე 2: ARP/MAC
შეიძლება გავლენა მოახდინოს ერთ სამაუწყებლო დომენში მოწყობილობებს შორის IP‑ის MAC‑თან შესაბამისობაზე.
შრე 3: IP
წყაროს IP შეიძლება გაყალბდეს; მან ცალკე ავთენტიფიკაცია არ უნდა ჩაანაცვლოს.
აპლიკაციები და ადამიანები
DNS‑ის, ვებსაიტის, ელფოსტის ან აბონენტის იდენტიფიკატორის იმიტაცია წყაროს გადამოწმებას მოითხოვს.
ARP ცხრილის მოწამვლა: მცდარი რუკა ლოკალურ ქსელში
IPv4 LAN‑ში ARP ლოკალურ კავშირზე IP მისამართის MAC მისამართთან დაკავშირებაში გვეხმარება. თავდამსხმელს შეუძლია გაყალბებული ARP პასუხები გაგზავნოს, მაგალითად კარიბჭის IP თავის MAC მისამართს დაუკავშიროს. თუ ტრაფიკი შემდეგ თავდამსხმელის მოწყობილობაზე გაივლის, მისი დაკვირვება, შეცვლა ან დაბლოკვა შესაძლებელია. შეტევა ლოკალური შრე 2‑ის/სამაუწყებლო დომენით შემოიფარგლება; პირდაპირ ნებისმიერ ინტერნეტმისამართზე მისი განხორციელება შეუძლებელია. HTTPS/TLS დაშიფრული სესიის შიგთავსის დაცვაში გვეხმარება, თუმცა ტრაფიკი მაინც შეიძლება დაიბლოკოს, მეტამონაცემები გამჟღავნდეს ან მომხმარებლები ყალბ საბოლოო წერტილზე გადამისამართდნენ.
MITM სცენარები და სასარგებლო ნიშნები
MITM შეტევისას მოწინააღმდეგე ურთიერთმომცვლელ მხარეებს შორის ექცევა და მონაცემების წაკითხვა ან შეცვლა შეუძლია. სცენარები მოიცავს ყალბ Wi-Fi‑ს, ARP ცხრილის მოწამვლას, DNS ქეშის მანიპულაციასა და მომხმარებლის მიერ TLS გაფრთხილების გვერდის ავლას; ჩაჭერილმა სესიის ქუქი-ფაილებმა შეიძლება სესიის მიტაცება გახადოს შესაძლებელი. მხოლოდ ბოქლომის ნიშნის არქონა ან ნელი კავშირი შეტევას არ ამტკიცებს. სერტიფიკატის გაფრთხილება, დომენის ან სერტიფიკატის მოულოდნელი ცვლილება, ერთი IP‑ისთვის რამდენიმე ARP პასუხი ან კარიბჭის MAC‑ის უეცარი ცვლილება შესწავლას იმსახურებს. საჯარო Wi-Fi‑ზე გამოიყენეთ დამტკიცებული VPN, არასოდეს აუაროთ გვერდი TLS გაფრთხილებებს, გამოიყენეთ MFA და ფიშინგგამძლე ავთენტიფიკაცია, განაახლეთ პროგრამები და მოვლენები ჰოსტის ჟურნალებთან შეაჯერეთ.
დააკვირდით
შეაგროვეთ ARP/DNS ცვლილებები, სერტიფიკატის გაფრთხილებები და მოულოდნელი მარშრუტები.
გადაამოწმეთ
შეადარეთ რეგისტრირებული MAC, კომუტატორის პორტი, DHCP მიბმა და სანდო სერტიფიკატების ჯაჭვი.
შეზღუდეთ
იზოლაციაში მოაქციეთ საეჭვო პორტი ან მოწყობილობა და შეისწავლეთ კარიბჭის, DNS‑ის, სესიებისა და ანგარიშების აქტივობა.
სეგმენტაციის საზღვრებზე აღასრულეთ პოლიტიკა
VLAN‑ები ან ცალკე კომუტატორები მოწყობილობებს აჯგუფებს, თუმცა თავისთავად არ განსაზღვრავს, ვის შეუძლია რესურსთან წვდომა. მარშრუტიზატორებზე, ქსელურ ეკრანებზე, ჰოსტის ქსელურ ეკრანებზე ან სხვა საკონტროლო წერტილში აღსრულებული წესებით დაუშვით მხოლოდ საქმიანობისთვის საჭირო ნაკადები სტუმრების Wi-Fi‑ს, IoT‑ს, მომხმარებლებს, სერვერებს, მართვისა და გადახდის სისტემებს შორის. თითოეულ წესს მიუთითეთ მფლობელი, მიზანი, წყარო, დანიშნულება, პროტოკოლი და გადახედვის თარიღი. RDP, SNMP, კომუტატორების მართვა და სარეზერვო ასლების კონსოლები მომხმარებელთა სეგმენტებისგან გამოყავით. გატეხილ სტუმრის ან IoT მოწყობილობას სხვა ზონებთან წვდომა ავტომატურად არ უნდა ჰქონდეს.
განსაზღვრეთ
აღრიცხეთ კრიტიკული სისტემები, მოწყობილობების მფლობელები და აუცილებელი კომუნიკაციები.
შეზღუდეთ წვდომა
გადადით ნაგულისხმევ აკრძალვაზე; მართვა გამოყოფილი ადმინისტრაციული ჰოსტებიდან დაუშვით.
გამოსცადეთ და გადახედეთ
გადაამოწმეთ დაშვებული და აკრძალული ნაკადები, შემდეგ წაშალეთ მოძველებული წესები.
ARP‑ის დაცვა და კომუტატორის ფუნქციების შეზღუდვები
სტატიკური ARP ჩანაწერები მცირე, სტაბილურ ლაბორატორიაში შეიძლება გამოგადგეთ, თუმცა ცვალებად ქსელში რთული მოსავლელია და IPv6 Neighbor Discovery‑ს არ ფარავს. მართვად კომუტატორზე Dynamic ARP Inspection (DAI)-ს შეუძლია ARP პაკეტების DHCP snooping‑ის მიბმების ბაზასთან გადამოწმება. სტატიკური მისამართების მქონე მოწყობილობებისთვის დააკონფიგურირეთ კომუტატორის მიერ მხარდაჭერილი ARP წვდომის სიები ან სტატიკური მიბმის სხვა მექანიზმი. DAI‑ის სანდო პორტებზე შემოსულმა პაკეტებმა შეიძლება შემოწმება გამოტოვოს, ამიტომ პორტების არასწორმა ნდობამ ან არასრულმა DHCP snooping‑მა დაცვა შეიძლება შეასუსტოს. DAI MITM‑ის ყველა მეთოდს არ აჩერებს. შესწავლისას შეამოწმეთ პორტის/MAC‑ის ცვლილებები, DHCP მიბმები და ARP დაკვირვებები, შეზღუდეთ დადასტურებულად მავნე პორტი და შეინახეთ ინციდენტის ჟურნალები.