Empoisonnement ARP : qu'est-ce que c'est et comment prévenir l'usurpation d'ARP

L'empoisonnement ARP est un type de cyberattaque qui exploite les faiblesses du protocole de résolution d'adresse (ARP) largement utilisé pour perturber, rediriger ou surveiller le trafic réseau. Dans cet article, nous examinerons rapidement pourquoi vous avez besoin d'ARP, analyserons ses faiblesses qui rendent l'empoisonnement ARP possible et ce que vous pouvez faire pour assurer la sécurité de votre organisation.

Qu'est-ce que l'ARP ?

ARP sert à déterminer l'adresse MAC à partir de l'adresse IP d'un autre ordinateur. ARP permet aux appareils connectés à un réseau de demander quel appareil est actuellement affecté à une adresse IP spécifique. Les appareils peuvent également communiquer cette affectation au reste du réseau sans y être invité. Pour plus d'efficacité, les appareils mettent généralement en cache ces réponses et créent une liste des affectations MAC-IP actuelles.

Qu'est-ce que l'empoisonnement à l'ARP ?

L'empoisonnement ARP (usurpation d'identité) est l'utilisation des faiblesses ARP pour perturber les affectations MAC-IP à d'autres appareils sur le réseau. En 1982, lorsque le protocole ARP a été introduit, la sécurité n'était pas une préoccupation principale, de sorte que les développeurs de protocole n'ont jamais utilisé de mécanismes d'authentification pour valider les messages ARP. Tout appareil du réseau peut répondre à une requête ARP, qu'il soit ou non le destinataire de la requête. Par exemple, si l'ordinateur A demande l'adresse MAC de l'ordinateur B, un attaquant sur l'ordinateur C peut répondre et l'ordinateur A acceptera la réponse comme valide. En raison de cette vulnérabilité, un grand nombre d'attaques ont été menées. En utilisant des outils facilement disponibles, un attaquant peut empoisonner le cache ARP d'autres hôtes sur le réseau local, le remplissant de données incorrectes.

Étapes d'empoisonnement ARP

Les étapes de l'empoisonnement à l'ARP peuvent varier, mais la liste minimale est généralement la suivante :

1. L'attaquant choisit la ou les machines de la victime
   
   La première étape de la planification et de la mise en œuvre d'une attaque d'empoisonnement ARP est le ciblage. Il peut s'agir d'un point de terminaison spécifique sur un réseau, d'un groupe de points de terminaison ou d'un périphérique réseau tel qu'un routeur. Les routeurs sont des cibles attrayantes, car un empoisonnement ARP de routeur réussi peut perturber le trafic d'un sous-réseau entier.
2. 
   
   , ARP, . . ARP .
3. 
   
   ARP () - . , « », . .

ARP Poisoning

Il existe deux manières principales d'empoisonner ARP : un attaquant peut soit attendre une requête ARP pour une cible spécifique et y répondre, soit utiliser des requêtes ARP gratuites. La première réponse sera moins visible sur le web, mais son impact potentiel sera également moindre. Les requêtes ARP autogérées peuvent être plus efficaces et affecter plus de victimes, mais elles ont l'inconvénient de générer beaucoup de trafic réseau. Quelle que soit l'approche, un cache ARP corrompu sur les appareils victimes peut être utilisé à d'autres fins :

Attaques de l'homme du milieu

Les attaques MiTM sont probablement la cible la plus courante et potentiellement la plus dangereuse de l'empoisonnement ARP. L'attaquant envoie de fausses réponses ARP à l'adresse IP spécifiée (généralement la passerelle par défaut pour un sous-réseau particulier). Cela oblige les périphériques victimes à remplir leur cache ARP avec l'adresse MAC de l'attaquant au lieu de l'adresse MAC du routeur local. Les appareils victimes transmettent ensuite de manière incorrecte le trafic réseau à l'attaquant. Des outils comme Ettercap permettent à un attaquant d'agir comme un proxy en affichant ou en modifiant des informations avant d'envoyer le trafic vers sa destination. Dans le même temps, la victime peut ne remarquer aucun changement dans le travail. Empoisonnement

ARP et empoisonnement DNS simultanés peut considérablement améliorer l'efficacité d'une attaque MiTM. Dans ce scénario, l'utilisateur victime peut saisir l'adresse d'un site légitime (par exemple, google.com) et obtenir l'adresse IP de la machine de l'attaquant au lieu de la bonne.

Déni de service (DoS)

Une attaque DoS se produit lorsqu'une ou plusieurs victimes se voient refuser l'accès aux ressources du réseau. Dans le cas d'ARP, un attaquant pourrait envoyer une réponse ARP qui attribue à tort des centaines, voire des milliers d'adresses IP à une seule adresse MAC, surchargeant potentiellement le périphérique cible. Ce type d'attaque, parfois appelé ARP flooding (ARP flooding), peut également cibler des commutateurs, affectant potentiellement les performances de l'ensemble du réseau.

Piratage de session

Le piratage de session est de nature similaire à MiTM, sauf que l'attaquant ne redirigera pas directement le trafic de la machine de la victime vers l'appareil cible. Au lieu de cela, il capture le véritable numéro de séquence TCP ou le cookie de la victime et l'utilise pour se faire passer pour la victime. Ainsi, il peut, par exemple, accéder au compte d'un utilisateur donné sur le réseau social, s'il y est connecté.

Quel est le but de l'empoisonnement à l'ARP?

Les pirates informatiques ont toujours une variété de motifs, y compris lorsqu'ils effectuent un empoisonnement ARP, allant de l'espionnage de haut niveau à l'excitation de créer le chaos sur le réseau. Dans un scénario possible, un attaquant pourrait utiliser de faux messages ARP pour assumer le rôle de passerelle par défaut pour un sous-réseau donné, dirigeant efficacement tout le trafic vers son appareil au lieu du routeur local. Ensuite, il peut surveiller le trafic, le modifier ou le vider. Ces attaques sont « bruyantes » car elles laissent des preuves mais n'affectent pas nécessairement le fonctionnement du réseau. Si la cible de l'attaque est l'espionnage, la machine de l'attaquant redirige simplement le trafic vers le destinataire d'origine, ne lui donnant aucune raison de soupçonner que quelque chose a changé.



Une autre cible pourrait être une perturbation importante du réseau. Par exemple, il n'est pas rare que des attaques DoS soient effectuées par des pirates informatiques moins expérimentés simplement pour profiter des problèmes qu'ils créent. Les attaques d'initiés



sont un type dangereux d'empoisonnement ARP . Les messages ARP usurpés ne sortent pas du réseau local, l'attaque doit donc provenir du périphérique local. Un périphérique externe peut également potentiellement lancer une attaque ARP, mais il doit d'abord compromettre le système local à distance par d'autres moyens, tandis que l'initié n'a besoin que d'une connexion réseau et de quelques outils facilement disponibles.

Usurpation d'ARP vs empoisonnement ARP

Les termes usurpation ARP et empoisonnement ARP sont couramment utilisés comme synonymes. Techniquement, l'usurpation signifie qu'un attaquant donne son adresse comme adresse MAC d'un autre ordinateur, tandis que l'empoisonnement (spoofing) fait référence aux dommages causés aux tables ARP sur une ou plusieurs machines victimes. En pratique, cependant, ce sont des éléments de la même attaque. Cette attaque est aussi parfois appelée « empoisonnement du cache ARP » ou « corruption de la table ARP ».

Conséquences des attaques d'empoisonnement ARP

Le principal effet de l'empoisonnement ARP est que le trafic destiné à un ou plusieurs hôtes sur le réseau local est plutôt dirigé vers un périphérique au choix de l'attaquant. Les conséquences spécifiques d'une attaque dépendent de ses spécificités. Le trafic peut être dirigé vers la machine de l'attaquant ou vers un emplacement inexistant. Dans le premier cas, il peut ne pas y avoir d'effet notable, tandis que dans le second, l'accès au réseau peut être bloqué.



En soi, l'empoisonnement du cache ARP n'a pas d'impact durable. Les entrées ARP sont mises en cache de quelques minutes sur les points de terminaison à plusieurs heures sur les commutateurs. Dès qu'un attaquant cesse d'infecter activement les tables, les enregistrements corrompus sont simplement expirés et le trafic normal reprendra bientôt. En soi, l'empoisonnement à l'ARP ne laisse pas d'infection permanente ou de prise sur les machines des victimes. Cependant, il n'est pas rare que des pirates effectuent une série d'attaques en chaîne, et l'empoisonnement ARP peut faire partie d'une attaque plus large.

Comment détecter l'empoisonnement du cache ARP

Il existe de nombreux programmes payants et open source disponibles pour détecter l'empoisonnement du cache ARP, mais vous pouvez vérifier les tables ARP sur votre ordinateur même sans installer de logiciel spécial. Sur la plupart des systèmes Windows, Mac et Linux, taper arp-a sur un terminal ou une invite de commande affichera les affectations d'adresses IP et MAC actuelles de la machine.



Des outils tels que arpwatch et X-ARP permettent une surveillance continue du réseau et peuvent alerter l'administrateur lorsque des signes d'empoisonnement du cache ARP sont détectés. Cependant, la probabilité de faux positifs est assez élevée.

Comment prévenir l'empoisonnement à l'ARP

Il existe plusieurs méthodes pour prévenir l'empoisonnement à l'ARP :

Tables ARP statiques

Vous pouvez affecter statiquement toutes les adresses MAC du réseau à leurs adresses IP correspondantes. C'est très efficace pour prévenir l'empoisonnement à l'ARP, mais cela demande beaucoup de travail. Tout changement dans le réseau nécessitera une mise à jour manuelle des tables ARP sur tous les hôtes et, par conséquent, pour la plupart des grandes organisations, l'utilisation de tables ARP statiques est peu pratique. Mais dans les situations où la sécurité est primordiale, l'allocation d'un segment de réseau distinct pour les tables ARP statiques peut aider à protéger les informations critiques.

Commutateur de protection

La plupart des commutateurs Ethernet gérés sont équipés de fonctions de prévention des attaques par empoisonnement ARP. Ces fonctionnalités, connues sous le nom d'inspection ARP dynamique (DAI), évaluent la validité de chaque message ARP et rejettent les paquets qui semblent suspects ou malveillants. DAI peut également limiter la vitesse à laquelle les messages ARP passent par le commutateur, empêchant efficacement les attaques DoS.



DAI et des fonctions similaires étaient autrefois disponibles exclusivement pour les équipements de réseau hautes performances, mais elles sont désormais présentes sur presque tous les commutateurs de classe affaires, y compris ceux utilisés dans les petites entreprises. Il est généralement recommandé d'activer le DAI sur tous les ports, à l'exception de ceux connectés à d'autres commutateurs. Cette fonctionnalité n'a pas d'impact significatif sur les performances ; en même temps, vous devrez peut-être activer d'autres fonctions, par exemple, DHCP Snooping.



L'activation de la sécurité des ports sur un commutateur peut également aider à minimiser les effets de l'empoisonnement du cache ARP. La sécurité des ports peut être configurée pour autoriser une seule adresse MAC sur un port de commutateur, ce qui empêche un attaquant d'utiliser plusieurs identifiants de réseau.

Protection physique

Un contrôle adéquat de l'accès physique au lieu de travail de l'utilisateur aidera également à prévenir les attaques d'empoisonnement ARP. Les messages ARP ne sortent pas du réseau local, les attaquants potentiels doivent donc être physiquement proches du réseau de la victime ou avoir déjà le contrôle d'une machine sur le réseau. A noter que dans le cas d'un réseau sans fil, proximité ne signifie pas forcément accès physique direct : le signal qui atteint la cour ou le parking peut être suffisant. Quel que soit le type de connexion (filaire ou sans fil), l'utilisation d'une technologie telle que 802.1x peut garantir que seuls les appareils de confiance et/ou gérés se connectent au réseau.

Isolement du réseau

Un réseau bien segmenté peut être moins sensible à l'empoisonnement du cache ARP en général, car une attaque sur un sous-réseau n'affecte pas les périphériques de l'autre. La concentration des ressources critiques sur un segment de réseau dédié avec des mesures de sécurité plus strictes peut réduire considérablement l'impact potentiel d'une attaque d'empoisonnement ARP.

Chiffrement

Bien que le cryptage n'empêche pas une attaque ARP, il peut réduire les dommages potentiels. Auparavant, une cible populaire des attaques MiTM était d'obtenir des identifiants de connexion, qui étaient autrefois transmis en texte brut. Avec la prolifération du cryptage SSL/TLS, ces attaques sont devenues plus difficiles à mener.

Juste une des nombreuses menaces

Bien que la technologie d'empoisonnement ARP soit apparue beaucoup plus tôt que de nombreux logiciels malveillants modernes tels que les virus ransomware , l'empoisonnement ARP est toujours une menace qui doit être combattue. Comme pour toutes les autres cybermenaces, il est préférable de procéder de manière globale. Les solutions de détection et de réponse aux menaces vous aident à mieux comprendre le niveau de sécurité global de votre organisation. Et des solutions comme Varonis Edge peuvent détecter les signes de fuite de données après un empoisonnement ARP.