ARP 스푸핑

Ⅰ. 상대방의 데이터 패킷 가로채는 공격, ARP Spoofing 공격의 개요

가. ARP Spoofing 공격 정의

- 주소 결정 프로토콜 메시지를 이용하여 상대방의 데이터 패킷을 중간에서 가로채는 중간자 공격 기법

 

나. ARP Spoofing 공격 유형

유형	설명
서버	- 취약한 서버를 찾아 공격하고 서버에 악성코드 삽입 - 서버 접속 대상 모든 사용자 공격에 노출
클라이언트	- 공격자가 포함되어 있는 로컬 네트워크에서 공격 - 상대적으로 보안 취약한 PC 공격하여 악성코드 삽입 - 점진적으로 타 PC 추가 감염 및 네트워크 장애 유발

 

 

Ⅱ. ARP Spoofing 공격 대응 방안

가 .ARP Spoofing 공격 탐지

구분	탐지 방안	설명
피해 시스템 영역	ARP table 조회 MAC 주소 확인	네트워크 내의 host에서 IP와 MAC 주소 확보 및 확인
	송신 패킷 악성코드 검사	패킷분석 도구 활용 송신 패킷 분석
	비정상 ARP 패킷 수신 확인	필요 이상의 reply 패킷 발생 모니터링
	ARP table 감시 도구 활용	오픈소스 도구 활용 ARP table 상태 체크
공격 시스템 영역	ARP Spoofing 실행 프로그램 확인	패킷 캡처 프로그램 여부 확인
	네트워크 어댑터 동작 확인	ifconfig, dmesg 네트워크 동작 상태 확인
	ARP 패킷 관찰	ARP 패킷 관찰하여 이상 여부 판단

 

나. ARP Spoofing 공격 대응

구분	대응기법	설명
시스템 관리	인증 요소 추가	- ARP 프로토콜에 인증 요소 추가하여 인증 수행
	보안 수준 강화	- 공격 받은 서버 2차 악용 방지 위해 보안 수준 강화
네트워크 관리	Static ARP 관리	- IP 주소 수동관리 통한 비정상 변경 방지
	MAC Flooding 관리	- 사용가능 MAC 및 개수 지정
	패킷 모니터링	- 잘못된 ARP 발생 여부 모니터링
암호화	중요 패킷 암호화	- 민감 정보 포함한 중요 패킷 암호화 수행
	사설 LAN	- 같은 네트워크라도 통신 불필요시 격리

- ARP 스푸핑 감지 SW 활용하여 피해 최소화 노력 필요