ARP Spoofing Qu’est-ce que c’est, comment ça marche et quelles sont les mesures pour se protéger de ce type d’attaque?

Pour les utilisateurs, il est avantageux d’être connecté à Internet au sein de leur entreprise pour en assurer une gestion optimale. Cependant, cela peut générer certains risques auxquels les réseaux sont normalement exposés et parmi eux se trouve le fameux «ARP Spoofing» .

En ce sens, malgré les équipements de sécurité des environnements professionnels, les attaques sont toujours présentes car elles peuvent même venir de l’intérieur . Par conséquent, le talon d’Achille principal de la chaîne de sécurité est considéré comme le réseau local LAN . Eh bien, si un hacker décide d’infiltrer le réseau interne, il aura toutes les portes ouvertes pour intercepter le trafic de données .

Pour cette raison, les cybercriminels bénéficient souvent de la grande vulnérabilité du protocole ARP utilisé sur les réseaux Ethernet IPv4 pour résoudre les adresses IP en adresses Mac . À partir de là, l’empoisonnement ARP s’est produit et pour en savoir plus sur ce que c’est, nous vous recommandons de continuer à lire cet article.

Qu’est-ce qu’une attaque d’empoisonnement ARP et à quoi sert-elle en informatique?

Au niveau de l’ordinateur, l’ARP Spoofing ou l’empoisonnement de table ARP est défini comme une technique de piratage puissante utilisée pour infiltrer un réseau afin qu’un attaquant déterminé puisse scruter chacun des paquets de données qui transitent par le réseau. réseau local et ainsi, le contrôler jusqu’à ce que le trafic change ou même s’arrête.

Par conséquent, il s’agit également d’une attaque dans laquelle un pirate informatique envoie des messages ARP falsifiés à un LAN . De cette manière, le cybercriminel parvient à lier son adresse MAC avec l’adresse IP d’un serveur ou d’un ordinateur légitime sur le réseau. En conséquence, il commencera à recevoir toutes les informations que vous entrez via l’adresse IP afin de prendre le contrôle du trafic de données en question .

Pour cette raison, une attaque d’empoisonnement ARP peut avoir des effets graves sur les entreprises en étant victime de vol de données sensibles , telles que: noms d’utilisateur, mots de passe, cookies, conversations VoIP, messages électroniques et messages instantanés, par exemple. Tout cela, sans aucun type de consentement et sous une tromperie qui vous permettra d’ espionner, d’enregistrer ou de manipuler complètement le trafic de données .

Désormais, un ARP Spoofing est utilisé, spécifiquement, pour envoyer des messages ARP faux ou falsifiés à Ethernet . Depuis, son objectif principal est d’associer l’adresse MAC du hacker à l’adresse IP de l’autre nœud attaqué, afin que l’information n’atteigne pas sa destination réelle , dans un premier temps. Le criminel sera plutôt celui qui transmettra le trafic vers la passerelle par défaut ou modifiera les données , en fonction de leur type d’attaque (passive ou active, respectivement).

Comment savoir si nous sommes victimes d’empoisonnement ARP ou d’usurpation ARP?

Étant donné que les attaques de ce type sont parmi les plus utilisées, aujourd’hui et ont la capacité de faire croire aux victimes que le hacker est le routeur du réseau local, elles sont difficiles à détecter . Depuis, l’attaquant s’occupe de manipuler les informations à volonté de la manière la plus silencieuse et en profite même pour détourner ou modifier le trafic. Pour savoir si vous êtes victime d’un empoisonnement ARP, il est préférable de s’appuyer sur certains outils disposant des utilitaires nécessaires pour cela .

Ainsi, l’une des solutions les plus connues est connue sous le nom de «shARP» et se définit comme un outil capable de découvrir activement la présence d’un tiers dans un réseau privé . Ainsi, shARP est un programme écrit en bash et généralement compatible avec la plupart des systèmes d’exploitation basés sur Linux.

Or, ce logiciel se caractérise par deux modes de fonctionnement qui sont:

• Mode défensif : il traite de la protection de l’utilisateur final contre l’attaque ARP Spoofing via la déconnexion du réseau . Cela alertera les gens de ce qui se passe à travers les haut-parleurs du système. Donc, en un mot, il vous déconnectera du réseau pour vous protéger automatiquement.
• Mode offensif : dans ce mode, le programme shARP, en plus de déconnecter le système de la victime du réseau, est également responsable de l’envoi de paquets de désauthentification au pirate informatique qui mène l’attaque . Par conséquent, cela vous interdira d’effectuer de futures intrusions pendant que le programme est installé sur l’ordinateur.

De plus, il existe d’autres tactiques au moyen desquelles des indications sur la présence d’une attaque ARP Spoofing peuvent être obtenues . L’un d’eux consiste à utiliser le protocole «RARP» ou «ARP inverse» qui vous permet de vérifier votre adresse IP correspondante, au moyen d’une adresse MAC. Donc, si cette requête renvoie plus d’une IP , cela signifie que l’adresse MAC a été clonée.

Quels sont les principaux outils utilisés pour mener des attaques de ce type?

Bien que cela semble contradictoire, la vérité est que plusieurs des programmes les plus utilisés pour mener des attaques ARP sont accessibles au public avec une totale normalité . Qui, en général, sont considérés comme des outils de sécurité pour évaluer l’état des propres réseaux de chaque utilisateur et les protéger contre les schémas d’attaque les plus courants.

En ce sens, pour en savoir plus sur les principaux outils qui existent pour mener des attaques d’empoisonnement ARP, nous mentionnons ici les logiciels les plus manipulés pour cela, en soulignant leurs caractéristiques les plus pertinentes:

Arpoison

Sans aucun doute, c’est l’un des programmes les plus utilisés pour créer des packages ARP personnalisés qui offrent la possibilité d’ exécuter des attaques d’empoisonnement de cache ou similaires , en particulier. Compte tenu de cela, son plus grand avantage réside dans la possibilité d’ajuster le nombre de colis à inspecter et le temps entre eux .

En plus de cela, il a la capacité d’étudier d’autres paramètres importants afin que le nombre de paquets et l’intervalle de temps entre eux correspondent mieux au réseau auquel le pirate souhaite accéder . De plus, le criminel lui-même peut définir librement les adresses d’expéditeur et de destination . Il est à noter qu’il s’agit également d’un outil utilisé dans le cadre de l’analyse de réseau et est sous licence GNU .

Caïn et Abel

En principe, il a été développé en tant que logiciel de récupération de mot de passe . Mais comme il fournit les utilitaires nécessaires pour intercepter les réseaux et pirater les clés, c’est aujourd’hui un outil utilisé pour exécuter des attaques d’empoisonnement ARP . Depuis, il dispose de fonctions de spoofing avec lesquelles il parvient à internaliser ou capturer rapidement le trafic IP dans les réseaux locaux , à partir de sa version 2.5.

En dehors de cela, depuis la version 4.0 , Cain & Abel prend également en charge l’adaptateur AirPcap et prend donc en charge la lecture passive du trafic de données dans les réseaux WLAN , ce qui le rend beaucoup plus puissant pour mener à bien ce type de cyberattaque. En appréciant cela, comme si cela ne suffisait pas, il a également ajouté la possibilité d’ attaquer les réseaux sans fil protégés par WPA , via sa version 4.9.1.

Ettercap

En fait, ce programme a été catalogué comme un outil optimal pour automatisé, avec d’ excellents résultats, les attaques ARP et des actions telles que renifler, la collecte des mots de passe, etc . Il montre même la capacité d’ attaquer les connexions protégées par SSH ou SSL et de manipuler les données interceptées , ce qui en fait une aide précieuse pour les cybercriminels.

Maintenant, il faut noter que ce logiciel est compatible avec Mac OS X, Linux et Windows, il peut être installé via quelques paramètres supplémentaires . Ainsi, principalement, l’outil a été fourni en tant que logiciel de sécurité pour tester des produits de ce type . Cependant, en plus de ce qui précède, il est également utilisé pour exécuter des attaques «homme au milieu» .

Coupure nette

Plus précisément, il s’agit d’un programme offert en tant qu’utilitaire d’administration réseau. Cependant, comme les webmasters se chargent de gérer votre réseau sur la base de l’ARP, il s’agit d’un outil capable de réaliser des attaques ARP Spoofing complètement réussies . Compte tenu de cela, NetCut parvient à identifier tous les périphériques connectés sur le réseau et expose leurs adresses MAC immédiatement .

Ainsi, en ce qui concerne son fonctionnement, le programme vous permet de déconnecter tout appareil du réseau, d’un simple clic sur son adresse dans la liste émise . De plus, c’est un logiciel qui est utilisé pour mener des attaques DoS , à condition que l’attaquant se trouve sur le même réseau que l’attaqué car sinon il n’est pas admissible.

SwitchSniffer

Il fait référence à un programme qui utilise la technique ARP Poison pour explorer un réseau LAN complet à la recherche d’un hôte, et comme il peut y accéder sans éveiller les soupçons car les hôtes cibles ne le perçoivent pas, il parvient également à modifier le trafic du données facilement . De cette façon, vous pouvez conclure l’attaque en question.

Cependant, c’est l’ un des outils les moins utilisés lors de l’exécution d’attaques d’empoisonnement ARP . Puisqu’il s’agit d’un programme shareware , l’utilisateur ne peut évaluer le produit que gratuitement avec des limites de temps d’utilisation. De plus, il nécessite l’installation de deux barres d’outils et contient généralement des publicités intrusives .

ARP0c / WCI

Ceci est défini comme un outil gratuit, compatible avec Windows et Linux qui se caractérise par l’utilisation de l’empoisonnement des tables ARP dans le but de gêner facilement les connexions dans un réseau local privé. Pour ce faire, le programme envoie des paquets de réponse falsifiés , c’est-à-dire qu’il les modifie et détourne le trafic de données vers le système de destination .

D’autre part, il ressort que sa grande puissance est due au fait qu’il dispose d’un moteur de pontage intégré qui est chargé de transmettre les informations au système de destination réel, sans que la victime ne soupçonne des mouvements étranges. De plus, les paquets originaux non diffusés localement sont exportés vers le routeur correspondant et ainsi l’attaque «man in the middle» passe inaperçue .

Conseils pour éviter d’être victime d’une attaque ARP Spoofing

Étant donné qu’il n’est pas si facile de détecter que vous êtes victime d’une attaque ARP Spoofing , la chose la plus appropriée est d’empêcher que cela se produise . Pour cela, vous pouvez prendre en compte certaines mesures qui vous aideront à vous protéger de cette grande menace qui se développe de plus en plus.

Ensuite, nous spécifions les recommandations les plus importantes:

Apportez certains ajustements au système d’exploitation

Heureusement, il existe la possibilité d’indiquer au système d’exploitation que les informations du cache ARP sont statiques et n’ont donc pas besoin d’être mises à jour avec les informations provenant du réseau local. Ce qui se fait via la configuration du système . De cette façon, vous pouvez empêcher l’attaque en premier lieu. Cependant, il convient de souligner que cela peut être problématique dans les réseaux où les systèmes connectés au réseau en question sont régulièrement mis à jour .

Utiliser des protocoles de réseau cryptographiques

S’il est vrai, les protocoles de communication sécurisés ont la capacité de renforcer la prévention des attaques ARP Spoofing, ouvertement , grâce au cryptage des données avant la transmission et / ou l’émission de celles-ci. Comme, au moyen de l’authentification lors de la réception . Certains de ces protocoles sont les suivants: Transport Layer Security (TLS), Secure Shell (SSH), Secure HTTP (HTTPS) et autres.

Vous pouvez subdiviser le réseau à l’aide de commutateurs de couche 3

Un autre bon moyen de se protéger contre l’abus des tables ARP consiste à subdiviser le réseau en fonction de commutateurs de couche 3 , de sorte que les demandes de diffusion non contrôlées n’influencent que les systèmes au sein d’un segment. Ainsi, ceux qui atteignent d’autres segments seront étudiés en détail par le commutateur .

Par conséquent, si ce commutateur fonctionne au niveau du réseau ou de la couche 3, il comparera toujours l’adresse MAC et l’adresse IP avec les enregistrements précédents , afin de garantir la sécurité la plus élevée possible. Donc, s’il trouve certaines incohérences, le même commutateur sonnera l’alarme et peut empêcher de futures attaques de ce type . Cependant, ces matériels sont très chers .

Autres conseils pertinents …

• Utilisez des outils qui vous permettent de savoir si une carte réseau sur un sous-réseau est en mode promiscuité . De cette manière, il permet de découvrir l’existence d’une attaque d’empoisonnement ARP.
• Utilisez des commutateurs haut de gamme , dotés de fonctionnalités spécifiques pour éviter ce type de risque. Compte tenu de cela, il est essentiel de les configurer correctement pour maintenir une bonne association IP-MAC entre eux .
• Au moyen de commutateurs haut de gamme, il est également recommandé de procéder à une segmentation adéquate des sous-réseaux avec les routeurs et les réseaux virtuels . Bien sûr, s’il a cette utilité.

Si vous avez des questions, laissez-les dans les commentaires, nous vous répondrons dans les plus brefs délais, et cela sera également d’une grande aide pour plus de membres de la communauté. Je vous remercie!