Мрежови атаки в офиса: ARP spoofing, „човек по средата“ и как се предотвратяват

Как работят ARP spoofing и атаките „човек по средата“ (MITM) в локалната мрежа, кои други мрежови атаки са най-чести и кои настройки на комутаторите и Wi-Fi мрежата ги спират.

OfSec 3 мин. четене

Повечето фирми защитават мрежата си от интернет със защитна стена, а вътрешната мрежа остава без контрол: всяко устройство в офиса вижда всички останали и може да се свърже с тях. За атака е достатъчен един заразен лаптоп, гост, свързан към основната Wi-Fi мрежа, или непознато устройство, включено в мрежов контакт в заседателната зала.

ARP spoofing

В локалната мрежа устройствата намират кой MAC адрес отговаря на даден IP адрес чрез протокола ARP. ARP не проверява кой изпраща отговора, затова всяко устройство може да обяви, че то е рутерът. Компютрите в мрежата приемат това и започват да изпращат трафика си през него.

Така нападателят застава между служителите и интернет. Това е атака „човек по средата“ (man-in-the-middle, MITM). Нападателят вижда некриптирания трафик, може да подменя отговорите на DNS заявките и да пренасочва потребителите към фалшиви страници за вход.

Други чести мрежови атаки

  • Фалшив DHCP сървър, който раздава на компютрите грешен шлюз или DNS сървър. Резултатът е същият като при ARP spoofing.
  • Фалшива точка за достъп с името на фирмената Wi-Fi мрежа (evil twin), към която устройствата се свързват автоматично.
  • Сканиране на вътрешната мрежа за споделени папки, принтери, камери и NAS устройства с фабрични пароли или стар фърмуер.
  • Отдалечен работен плот (RDP) или бази данни, отворени към интернет и атакувани с подбиране на пароли.

Защита

  1. Криптирайте целия трафик: HTTPS с HSTS за вътрешните системи, TLS за пощата, VPN за отдалечения достъп. Тогава прихванатият трафик е безполезен, а фалшивите страници предизвикват предупреждение за сертификата.
  2. Използвайте управляеми комутатори (switch) с DHCP snooping и Dynamic ARP Inspection. Те пропускат DHCP и ARP отговори само от разрешените портове и устройства.
  3. Разделете мрежата на сегменти (VLAN): служители, сървъри, гости, принтери, камери и други устройства. Между сегментите минава само изрично разрешеният трафик.
  4. Направете отделна мрежа за гости с изолация на клиентите, така че устройствата в нея не се виждат едно друго и нямат достъп до фирмената мрежа.
  5. Използвайте WPA3 или WPA2-Enterprise с индивидуални профили (802.1X) вместо една обща парола, която знаят всички настоящи и бивши служители.
  6. Изключете или ограничете мрежовите контакти в общите помещения.
  7. Настройте известие при поява на ново устройство в мрежата и при промяна на MAC адреса на шлюза.

Как се проверява

Вътрешният тест за проникване започва от позицията на гост или на служител с обикновен достъп и проверява колко далеч може да стигне нападател отвътре. Резултатът показва кои сегменти трябва да бъдат разделени и кои устройства трябва да бъдат обновени или изолирани.

Мрежова сигурностОфис