Tấn công ARP Poisoning là gì? Có thể làm gì để ngăn chặn?

Việc có một hệ thống phòng thủ an ninh mạng duy nhất không đảm bảo an ninh toàn diện khi tin tặc tiếp tục nghĩ ra những cách mới để vượt qua. Chúng hiểu rằng việc tung ra các cuộc tấn công trực tiếp không còn hiệu quả nữa vì các cơ chế bảo mật tiên tiến có thể dễ dàng phát hiện ra chúng. Ẩn đằng sau các mạng hợp pháp thông qua những kỹ thuật như tấn công ARP Poisoning giúp công việc của họ dễ dàng hơn.

Với ARP Poisoning, tội phạm mạng có thể chuyển hướng địa chỉ IP và chặn thông tin liên lạc của bạn khi đang chuyển tiếp mà bạn không hề hay biết. Đây là cách thức hoạt động của phương pháp tấn công này và cách bạn có thể ngăn chặn nó.

Tấn công ARP Poisoning là gì?

Address Resolution Protocol (ARP) là một quy trình kết nối liên kết địa chỉ IP với địa chỉ vật lý tĩnh của Media Access Control (MAC) qua mạng cục bộ (LAN). Vì địa chỉ của IP và MAC có các thành phần khác nhau nên chúng không tương thích. ARP dung hòa sự khác biệt này để đảm bảo rằng cả hai phần tử đều đồng bộ. Nếu không, chúng sẽ không nhận ra nhau.

Tấn công ARP Poisoning là một quá trình theo đó kẻ xâm nhập gửi nội dung độc hại qua mạng cục bộ (LAN) để chuyển hướng kết nối của một địa chỉ IP hợp pháp đến địa chỉ MAC của chúng. Trong quá trình này, kẻ tấn công thay thế địa chỉ MAC ban đầu sẽ kết nối với địa chỉ IP, cho phép chúng truy cập những tin nhắn mà mọi người gửi đến địa chỉ MAC xác thực.

Tấn công ARP Poisoning hoạt động như thế nào?

Một số mạng có thể hoạt động trên mạng cục bộ (LAN) cùng một lúc. Mỗi mạng đang hoạt động có một địa chỉ IP cụ thể dùng làm phương tiện nhận dạng và phân biệt nó với các mạng khác. Khi dữ liệu từ các mạng khác nhau đến cổng, ARP sẽ sắp xếp chúng cho phù hợp, vì vậy mỗi mạng sẽ đi thẳng đến đích đã định.

Kẻ tấn công tạo và gửi một thông báo ARP sai đến hệ thống được định hình. Chúng thêm địa chỉ MAC của mình và địa chỉ IP của mục tiêu trong tin nhắn. Khi nhận và xử lý thông báo ARP sai, hệ thống sẽ đồng bộ địa chỉ MAC của kẻ tấn công với địa chỉ IP.

Khi mạng LAN kết nối địa chỉ IP với địa chỉ MAC của kẻ xâm nhập, kẻ xâm nhập bắt đầu nhận tất cả các thông báo dành cho địa chỉ MAC hợp pháp. Chúng có thể nghe trộm thông tin liên lạc để truy xuất dữ liệu nhạy cảm khi trao đổi, sửa đổi thông tin liên lạc bằng cách chèn nội dung độc hại hoặc thậm chí xóa dữ liệu trong khi truyền để người nhận không nhận được.

Các loại tấn công ARP Poisoning

Tội phạm mạng có thể khởi chạy các cuộc tấn công ARP theo hai cách: Giả mạo và làm nhiễm độc bộ nhớ cache.

Giả mạo ARP

Giả mạo ARP là một quá trình trong đó tác nhân đe dọa giả mạo và gửi phản hồi ARP tới hệ thống mà chúng đang nhắm mục tiêu. Một câu trả lời giả mạo là tất cả những gì kẻ xâm nhập phải gửi cho hệ thống được đề cập để thêm địa chỉ MAC của nó vào danh sách trắng. Điều này làm cho việc giả mạo ARP dễ dàng thực hiện.

Những kẻ tấn công cũng sử dụng phương pháp giả mạo ARP để thực hiện các loại tấn công khác, chẳng hạn như chiếm quyền điều khiển phiên, trong đó chúng chiếm lấy các phiên duyệt web của bạn và tấn công Man-in-the-Middle trong đó chúng chặn liên lạc giữa hai thiết bị được kết nối với mạng.

Làm nhiễm độc bộ nhớ cache ARP

Việc làm nhiễm độc trong kiểu tấn công ARP này bắt nguồn từ việc kẻ tấn công tạo và gửi nhiều phản hồi ARP giả mạo tới hệ thống mục tiêu của chúng. Chúng làm điều này đến mức khiến hệ thống tràn ngập các mục nhập không hợp lệ và không thể xác định được các mạng hợp pháp của nó.

Kỹ thuật gây ra hỗn loạn lưu lượng sẽ nắm bắt cơ hội để chuyển hướng các địa chỉ IP sang hệ thống của chính chúng và chặn những liên lạc đi qua chúng. Các tác nhân đe dọa sử dụng phương thức tấn công ARP này để tạo điều kiện thuận lợi cho những hình thức tấn công khác như từ chối dịch vụ (DoS), trong đó chúng làm tràn ngập hệ thống đích bằng các thông báo không liên quan để gây tắc nghẽn giao thông và sau đó chuyển hướng những địa chỉ IP.

Làm thế nào để ngăn chặn một cuộc tấn công ARP Poisoning?

Các cuộc tấn công ARP Poisoning có tác động tiêu cực đến hệ thống của bạn, chẳng hạn như mất dữ liệu quan trọng, ảnh hưởng đến danh tiếng do dữ liệu nhạy cảm của bạn bị lộ và thậm chí cả thời gian ngừng hoạt động nếu kẻ tấn công can thiệp vào các yếu tố điều khiển mạng.

Nếu bạn không muốn chịu bất kỳ hậu quả nào ở trên, đây là những cách để ngăn chặn các cuộc tấn công ARP Poisoning.

1. Tạo bảng ARP tĩnh

Công nghệ ARP không thể tự động xác thực địa chỉ IP hợp pháp bằng địa chỉ MAC của chúng. Điều này giúp tội phạm mạng có cơ hội giả mạo các phản hồi ARP. Bạn có thể khắc phục lỗ hổng này bằng cách tạo một bảng ARP tĩnh nơi bạn ánh xạ tất cả các địa chỉ MAC xác thực trên mạng của mình tới những địa chỉ IP hợp pháp của chúng. Cả hai thành phần sẽ chỉ kết nối và xử lý các địa chỉ phù hợp của chúng, loại bỏ cơ hội cho những kẻ tấn công kết nối địa chỉ MAC của chúng với mạng.

Xây dựng các bảng ARP tĩnh liên quan đến rất nhiều công việc thủ công khiến nó tốn thời gian. Nhưng nếu nỗ lực hết mình, bạn sẽ ngăn chặn được một số cuộc tấn công ARP Poisoning.

2. Triển khai Dynamic ARP Inspection (DAI)

Dynamic ARP Inspection (DAI) là một hệ thống bảo mật mạng xác minh các thành phần ARP có trên mạng. Nó xác định các kết nối có địa chỉ MAC bất hợp pháp đang cố chuyển hướng hoặc chặn các địa chỉ IP hợp lệ.

Dynamic ARP Inspection (DAI) kiểm tra tất cả các yêu cầu địa chỉ ARP MAC-to-IP trên hệ thống và xác nhận rằng chúng hợp lệ trước khi cập nhật thông tin trên ARP cache và chuyển chúng đến đúng kênh.

3. Phân đoạn mạng

Những kẻ xấu thực hiện các cuộc tấn công ARP Poisoning, đặc biệt là khi chúng có quyền truy cập vào tất cả mọi khu vực của mạng. Phân đoạn mạng có nghĩa là các thành phần khác nhau sẽ ở những khu vực khác nhau. Ngay cả khi kẻ xâm nhập giành được quyền truy cập vào một phần, vẫn có giới hạn đối với quyền kiểm soát mà chúng có thể do một số phần tử không có mặt.

Bạn có thể củng cố bảo mật của mình bằng cách tạo bảng ARP tĩnh cho từng phân đoạn mạng của mình. Bằng cách đó, tin tặc sẽ khó đột nhập vào một khu vực hơn, chứ chưa nói đến tất cả các khu vực.

4. Mã hóa dữ liệu

Mã hóa có thể không có nhiều tác động trong việc ngăn chặn tin tặc xâm nhập vào mạng của bạn bằng các cuộc tấn công ARP Poisoning, nhưng nó sẽ ngăn chúng sửa đổi dữ liệu của bạn nếu chúng nắm giữ dữ liệu đó. Đó là vì mã hóa dữ liệu ngăn những kẻ xâm nhập đọc nội dung mà không có khóa giải mã hợp lệ.

Nếu việc những kẻ tấn công đánh cắp dữ liệu từ một cuộc tấn công ARP Poisoning là vô ích do mã hóa, thì không thể nói đó là một cuộc tấn công thành công.