Asosiy xulosa
Shubhali ARP oʻzgarishlarini tekshiring, foydalanuvchi va boshqaruv segmentlarini ajrating hamda ular oʻrtasida faqat zarur trafikka ruxsat bering.
Soxtalashtirish turli qatlamlarda uchraydi
Soxtalashtirish odam yoki tizimni aldash uchun ishonchli manbaga taqlid qiladi. Elektron pochtaning From maydoni va koʻrinadigan ismlari, manba IPlari, DNS javoblari, qoʻngʻiroq qiluvchi identifikatorlari va mahalliy tarmoqdagi MAC manzillar mexanizmlari turlicha boʻlgan alohida nishonlardir. Soxta manba IPsi hujum kelib chiqishini yashirishi yoki xizmat javoblarini jabrlanuvchi manziliga yoʻnaltirishi mumkin; uning oʻzi ikki tomonlama seans yaratmaydi. BEC oʻxshash domen yoki buzib kirilgan haqiqiy pochta qutisidan foydalanishi mumkin. Tanish koʻrinadigan ism yoki IP ruxsat roʻyxatining oʻzi shaxsni tasdiqlamaydi.
2-qatlam: ARP/MAC
Bir translyatsiya domenidagi qurilmalar oʻrtasida IP–MAC mosliklariga taʼsir qilishi mumkin.
3-qatlam: IP
Manba IPsi soxtalashtirilishi mumkin; u alohida autentifikatsiya oʻrnini bosmasligi kerak.
Ilovalar va odamlar
DNS, veb-sayt, elektron pochta yoki qoʻngʻiroq identifikatoriga taqlid manbani tekshirishni talab qiladi.
ARP zaharlanishi: mahalliy tarmoqdagi soxta xarita
IPv4 LANda ARP mahalliy ulanishdagi IP manzilni MAC manzilga moslashga yordam beradi. Hujumchi soxta ARP javoblarini yuborishi, masalan, shlyuz IPsini oʻz MAC manziliga moslashi mumkin. Trafik keyin hujumchi qurilmasi orqali oʻtsa, u kuzatilishi, oʻzgartirilishi yoki bloklanishi mumkin. Bu hujum mahalliy 2-qatlam/translyatsiya domeni bilan cheklangan; uni internetdagi istalgan manzilga bevosita uyushtirib boʻlmaydi. HTTPS/TLS shifrlangan seans mazmunini himoyalashga yordam beradi, ammo trafik baribir bloklanishi, metamaʼlumotlar ochilishi yoki foydalanuvchilar soxta oxirgi nuqtaga yoʻnaltirilishi mumkin.
MITM ssenariylari va foydali belgilar
MITM hujumida raqib muloqot qiluvchi tomonlar oʻrtasiga joylashib, maʼlumotlarni oʻqishi yoki oʻzgartirishi mumkin. Ssenariylar orasida soxta Wi-Fi, ARP zaharlanishi, DNS keshini oʻzgartirish va foydalanuvchining TLS ogohlantirishini chetlab oʻtishi bor; tutib olingan seans kukilari seansni egallash imkonini berishi mumkin. Qulf belgisi yoʻqligi yoki sekin ulanishning oʻzi hujumni isbotlamaydi. Sertifikat ogohlantirishi, kutilmagan domen yoki sertifikat oʻzgarishi, bitta IP uchun bir nechta ARP javobi yoki shlyuz MAC manzilining toʻsatdan oʻzgarishi tekshirishga arziydi. Ommaviy Wi-Fida tasdiqlangan VPNdan foydalaning, TLS ogohlantirishlarini hech qachon chetlab oʻtmang, MFA va fishingga chidamli autentifikatsiyani qoʻllang, dasturlarni yangilang va hodisalarni xost jurnallari bilan bogʻlang.
Kuzating
ARP/DNS oʻzgarishlari, sertifikat ogohlantirishlari va kutilmagan yoʻnalishlarni yigʻing.
Tekshiring
Roʻyxatdagi MAC, kommutator porti, DHCP bogʻlanishi va ishonchli sertifikat zanjirini solishtiring.
Cheklang
Shubhali port yoki qurilmani ajrating va shlyuz, DNS, seans hamda hisob faoliyatini tekshiring.
Segmentatsiya chegaralari siyosatni bajarsin
VLANlar yoki alohida kommutatorlar qurilmalarni guruhlaydi, ammo ularning oʻzi resursga kim yetishi mumkinligini belgilamaydi. Mehmon Wi-Fi, IoT, foydalanuvchilar, serverlar, boshqaruv va toʻlov tizimlari oʻrtasida faqat ish uchun zarur oqimlarga ruxsat berish uchun marshrutizator, tarmoqlararo ekran, xost ekrani yoki boshqa siyosat nuqtasida bajariladigan qoidalardan foydalaning. Har bir qoida uchun masʼul, maqsad, manba, manzil, protokol va koʻrib chiqish sanasini belgilang. RDP, SNMP, kommutator boshqaruvi va zaxiralash konsollarini foydalanuvchi segmentlaridan ajrating. Buzib kirilgan mehmon yoki IoT qurilmasi boshqa zonalarga avtomatik yetmasligi kerak.
Belgilang
Muhim tizimlar, qurilma masʼullari va zarur aloqalarni xaritalang.
Cheklang
Standart rad etish tomon oʻting; boshqarishga ajratilgan administrator xostlaridan ruxsat bering.
Sinang va koʻrib chiqing
Ruxsat etilgan va rad etilgan oqimlarni tekshiring, soʻng eskirgan qoidalarni olib tashlang.
ARP himoyasi va kommutator funksiyalari cheklovlari
Statik ARP yozuvlari kichik, barqaror laboratoriyada yordam berishi mumkin, ammo oʻzgaruvchan tarmoqda ularni yuritish qiyin va ular IPv6 Neighbor Discoveryni qamramaydi. Boshqariladigan kommutatorda Dynamic ARP Inspection (DAI) ARP paketlarini DHCP snooping bogʻlanishlar bazasiga qarshi tekshirishi mumkin. Statik manzilli qurilmalar uchun kommutator qoʻllab-quvvatlaydigan ARP kirish roʻyxatlari yoki boshqa statik bogʻlash mexanizmini sozlang. DAI ishonchli deb belgilagan portlardan kelgan paketlar tekshiruvni chetlab oʻtishi mumkin, shu bois portga notoʻgʻri ishonch yoki toʻliq boʻlmagan DHCP snooping himoyani zaiflashtirishi mumkin. DAI barcha MITM usullarini toʻxtatmaydi. Tekshirishda port/MAC oʻzgarishlari, DHCP bogʻlanishlari va ARP kuzatuvlarini tekshiring, zararli ekani tasdiqlangan portni cheklang va hodisa jurnallarini saqlang.