arp-validator

ARPポイズニング攻撃を検出するセキュリティツール

機能

パッシブなアプローチと比較して、ARPポイズニング攻撃をより高速に検出するアプローチを採用
ARPポイズニングの存在だけでなく、有効なIP-MACマッピングも検出（LANホストがカスタマイズされていないネットワークスタックを使用している場合）
検証済みホストを保存して速度を向上
通常のトラフィックを妨害せずにデーモンプロセスとして動作
任意の外部ファイルにログを記録

アーキテクチャ

  +-------------+                +---------------+                  +------------+    
  |  ARP packet |    ARP Reply   | Mac-ARP Header|    Consistent    |   Spoof    |
  |   Sniffer   |  ------------> |  consistency  |  --------------> |  Detector  |
  |             |     Packets    |    Checker    |    ARP Packets   |            |
  +-------------+                +---------------+                  +------------+
                                        |                                 /
                                   Inconsistent                         /
                                   ARP Packets                     Spoofed
                                        |                        ARP Packets
                                        V                         /
                                +--------------+                /
                                |              |              /
                                |   Notifier   |  <----------
                                |              |
                                +--------------+

ARPパケットスニファ

すべてのARPパケットをスニファし、以下を破棄します
- ARPリクエストパケット
- ツールを実行しているマシン自身が送信したARPリプライパケット（実行中のホストがARPポイズニングではないと仮定 😜）
MAC-ARPヘッダー整合性チェッカー

以下を照合します
- MACヘッダーの送信元MACアドレスとARPヘッダーの送信元MACアドレス
- MACヘッダーの宛先MACアドレスとARPヘッダーの宛先MACアドレス
上記のいずれかが一致しない場合、通知されます。
スプーフ検出器

TCP/IPスタックの基本特性に基づいて動作します。
```
The network interface card of a host will accept packets sent to its MAC address, Broadcast  address
and subscribed multicast addresses. It will pass on these packets to the IP layer. The IP layer will
only  accept  IP packets  addressed to its IP address(s) and will  silently  discard the rest of the
packets.
If  the  accepted  packet  is a TCP packet it is passed on to the TCP  layer. If a TCP SYN packet is
received then the host will either respond back with a TCP SYN/ACK packet if the destination port is
open or with a TCP RST packet if the port is closed.
```
したがって、2種類のパケットが考えられます
- 正しいMAC - 正しいIP
- 正しいMAC - 誤ったIP (スプーフされたパケット)
整合性のあるARPパケットごとに、ARPパケットで通知された宛先MACアドレスとIPアドレスを使用してTCP SYNパケットを構築します。宛先ポートはランダムで、送信元MACアドレスとIPアドレスはツールを実行しているホストのものです。

もし TIME LIMIT内にRST（ポートが閉じている）またはACK（ポートがリッスン中）を受信した場合、ARPパケットを送信したホストは正当です。

そうでなければ TIME LIMIT内に応答がないため、ホストは正当ではなく、通知されます。
通知機能

ARPスプーフィング検出時にデスクトップ通知を提供します。

インストール

npm

[sudo] npm install arp-validator -g

source

git clone https://github.com/rnehra01/arp-validator.git
cd arp-validator
npm install
Use the binary in bin/ to run

使い方

[sudo] arp-validator [action] [options]

actions:

	start		start arp-validator as a daemon

		options:
			--interface, -i
				Network interface on which tool works
				arp-validator start -i eth0 or --interface=eth0

			--hostdb, -d
				stores valid hosts in external file (absolute path)
				arp-validator start -d host_file or --hostdb=host_file

			--log, -l
				generte logs in external files(absolute path)
				arp-validator start -l log_file or --log=log_file


	stop		stop arp-validator daemon


	status		get status of arp-validator daemon


global options:

	--help, -h
		Displays help information about this script
		'arp-validator -h' or 'arp-validator --help'

	--version
		Displays version info
		arp-validator --version

依存関係

課題

現在、ホストはカスタマイズされていないネットワークスタックを使用していると想定されているため、悪意のあるホストはTCP SYNパケットに応答しません。しかし、悪意のあるホストがカスタマイズされたネットワークスタックを使用している場合、レイヤ2からTCP SYNパケットを直接キャプチャし、自己構築したTCP RSTまたはACKで応答することができるため、ツールは悪意のあるホストを検証してしまいます。
ホストが特定のポートのみにTCPパケットを許可するファイアウォールを使用している場合、正当なホストもTCP SYNパケットに応答しなくなり、ツールはARPポイズニング検出の誤検出（False Positive）を発生させます。

参考文献

Vivek Ramachandran and Sukumar Nandi, “Detecting ARP Spoofing: An Active Technique”

arp-validator

人気

arp-validator

機能

アーキテクチャ

インストール

使い方

依存関係

課題

参考文献