arp-validator

Herramienta de seguridad para detectar ataques de envenenamiento ARP

Características

• Utiliza un enfoque más rápido en la detección de ataques de envenenamiento ARP en comparación con enfoques pasivos
• Detecta no solo la presencia de envenenamiento ARP sino también el mapeo IP-MAC válido (cuando los hosts de la LAN utilizan una pila de red no personalizada)
• Almacena hosts validados para mejoras de velocidad
• Funciona como un proceso demonio sin interferir con el tráfico normal
• Genera registros en cualquier archivo externo

Arquitectura

  +-------------+                +---------------+                  +------------+    
  |  ARP packet |    ARP Reply   | Mac-ARP Header|    Consistent    |   Spoof    |
  |   Sniffer   |  ------------> |  consistency  |  --------------> |  Detector  |
  |             |     Packets    |    Checker    |    ARP Packets   |            |
  +-------------+                +---------------+                  +------------+
                                        |                                 /
                                   Inconsistent                         /
                                   ARP Packets                     Spoofed
                                        |                        ARP Packets
                                        V                         /
                                +--------------+                /
                                |              |              /
                                |   Notifier   |  <----------
                                |              |
                                +--------------+

1. Capturador de Paquetes ARP

   Captura todos los paquetes ARP y descarta

   • Paquetes de Solicitud ARP
   • Paquetes de Respuesta ARP enviados por la misma máquina que está utilizando la herramienta (asumiendo que el host que ejecuta la herramienta no está envenenando ARP 😜)

2. Comprobador de Consistencia de Cabecera MAC-ARP

   Compara

   • direcciones MAC de origen en la cabecera MAC con la cabecera ARP
   • direcciones MAC de destino en la cabecera MAC con la cabecera ARP

   Si alguna de las anteriores no coincide, se notificará.

3. Detector de Suplantación (Spoof Detector)

   Funciona basándose en la propiedad básica de la pila TCP/IP.

   root@kitploit:~

   The network interface card of a host will accept packets sent to its MAC address, Broadcast  address
   and subscribed multicast addresses. It will pass on these packets to the IP layer. The IP layer will
   only  accept  IP packets  addressed to its IP address(s) and will  silently  discard the rest of the
   packets.
   If  the  accepted  packet  is a TCP packet it is passed on to the TCP  layer. If a TCP SYN packet is
   received then the host will either respond back with a TCP SYN/ACK packet if the destination port is
   open or with a TCP RST packet if the port is closed.
   

   Por lo tanto, puede haber dos tipos de paquetes:

   • MAC CORRECTA - IP CORRECTA
   • MAC CORRECTA - IP INCORRECTA (Paquete suplantado)

   Para cada paquete ARP consistente, construiremos un paquete TCP SYN con la MAC e IP de destino tal como se anuncian en el paquete ARP con algún puerto de destino TCP aleatorio y la MAC e IP de origen son las del host que ejecuta la herramienta.

   Si se recibe un RST (puerto cerrado) o ACK (puerto en escucha) dentro del LÍMITE DE TIEMPO para el SYN, entonces el host (que envió el paquete ARP) es legítimo.

   De lo contrario No se recibe respuesta dentro del LÍMITE DE TIEMPO, por lo que el host no es legítimo y se notificará.

Instalación

npm

[sudo] npm install arp-validator -g

source

git clone https://github.com/rnehra01/arp-validator.git
cd arp-validator
npm install
Use the binary in bin/ to run

Uso

[sudo] arp-validator [action] [options]

actions:

	start		start arp-validator as a daemon

		options:
			--interface, -i
				Network interface on which tool works
				arp-validator start -i eth0 or --interface=eth0

			--hostdb, -d
				stores valid hosts in external file (absolute path)
				arp-validator start -d host_file or --hostdb=host_file

			--log, -l
				generte logs in external files(absolute path)
				arp-validator start -l log_file or --log=log_file


	stop		stop arp-validator daemon


	status		get status of arp-validator daemon


global options:

	--help, -h
		Displays help information about this script
		'arp-validator -h' or 'arp-validator --help'

	--version
		Displays version info
		arp-validator --version

Dependencias

• libpcap-dev: librería para captura de tráfico de red
• node-pcap/node_pcap
• stephenwvickers/node-raw-socket
• indutny/node-ip
• scravy/node-macaddress
• codenothing/argv
• niegowski/node-daemonize2
• mikaelbr/node-notifier

Problemas

• Actualmente, se asume que los hosts utilizan una pila de red no personalizada, por lo que el host malicioso no responderá al paquete TCP SYN. Pero en caso de que el host malicioso esté utilizando una pila de red personalizada, puede capturar directamente el paquete TCP SYN desde la capa 2 y responder con un RST o ACK TCP auto-construido, por lo que nuestra herramienta validará al host malicioso.
• Si un host está usando un cortafuegos que permite paquetes TCP solo para algunos puertos específicos, en ese caso un host legítimo tampoco responderá al paquete TCP SYN y la herramienta dará un Falso Positivo de Detección de Envenenamiento ARP.

Referencias

Vivek Ramachandran y Sukumar Nandi, “Detecting ARP Spoofing: An Active Technique”