ARP zehirlenmesi, yerel ağda adres çözümleme protokolünün kötüye kullanılmasıdır. Saldırgan sahte mesajlar göndererek kendini başka bir cihaz olarak tanıtır.

Protokol tasarımı gereği bu mesajlar doğrulanmaz. Ağdaki cihazlar gelen bilgiyi olduğu gibi kabul eder ve tablolarını günceller.

Sonuçta hedeflenen trafik saldırganın cihazı üzerinden akmaya başlar. Bu konum, dinleme ve değiştirme imkânı sağlar.

ARP Zehirlenmesi Nedir?

ARP zehirlenmesi, yerel ağdaki cihazlara sahte adres eşleştirme bilgileri göndererek trafiğin saldırgan üzerinden geçmesini sağlayan saldırı yöntemidir.

Saldırı yalnızca aynı yerel ağ segmentinde uygulanabilir. Bu sınır, segmentasyonun neden bu kadar etkili bir önlem olduğunu açıklar.

Uygulaması teknik olarak basittir ve hazır araçlarla birkaç komutla gerçekleştirilebilir. Bu erişilebilirlik, saldırıyı yaygın kılar.

Neye Yol Açar?

Birinci sonuç, trafiğin dinlenmesidir. Şifresiz protokollerle taşınan veriler doğrudan okunabilir hâle gelir.

İkinci sonuç, trafiğin değiştirilmesidir. Saldırgan içeriği değiştirerek istemciye farklı yanıtlar döndürebilir.

Üçüncü sonuç, hizmet kesintisidir. Trafiğin hiç iletilmemesi durumunda hedef cihaz ağdan kopmuş gibi davranır.

Saldırı çoğu zaman ortadaki adam saldırısının ilk adımıdır. Konum sağlandıktan sonra asıl hedef başka bir tekniğe geçilerek elde edilir.

• Şifresiz trafiğin dinlenmesi ve kimlik bilgisi toplanması
• Ad çözümleme yanıtlarının değiştirilerek yönlendirme yapılması
• Oturum belirteçlerinin yakalanması
• Hedef cihaz için hizmet kesintisi oluşturulması
• Şifreli bağlantılarda sertifika uyarısı üretilerek kullanıcı kandırılması

Nasıl Önlenir?

İlk önlem, anahtar üzerinde dinamik ARP denetiminin etkinleştirilmesidir. Bu özellik, adres eşleştirmelerini bir güven kaynağıyla karşılaştırarak sahte mesajları eler.

Özellik, adres atama kayıtlarına dayanır; statik adresli cihazlar için ayrıca tanım yapılması gerekir. Bu tanımların eksik kalması yanlış engellemelere yol açabilir.

İkinci önlem, ağın segmentlere bölünmesidir. Segment ne kadar küçükse, saldırganın erişebileceği cihaz sayısı o kadar azalır.

Üçüncü önlem, tüm trafiğin şifrelenmesidir. Saldırgan trafiği görse bile içeriğe erişemez ve değiştiremez.

Tespit Yöntemleri

Tespitin temel göstergesi, aynı adres için farklı donanım adreslerinin görülmesidir. Bu değişim ağ izleme araçlarıyla yakalanabilir.

Ayrıca olağandışı sayıda ARP mesajı gönderen cihazlar izlenir. Sürekli duyuru yapan bir cihaz şüphe uyandırmalıdır.

Uç nokta tarafında da yerel tablo değişiklikleri izlenebilir. Ağ geçidi adresinin donanım adresinin değişmesi güçlü bir işarettir.

Konuk ve Ortak Alan Ağları

Ziyaretçilere ve kişisel cihazlara açık ağlar bu saldırı için elverişli ortamlardır. Bu ağların kurumsal ağdan tamamen ayrılması temel bir gerekliliktir.

Ayrım yalnızca farklı bir ağ adı vermekle sağlanmaz; yönlendirme düzeyinde de izolasyon gerekir. Aksi hâlde ayrım yalnızca görünürde kalır.

İstemci izolasyonu özelliği de kullanılmalıdır. Bu özellik, aynı ağdaki cihazların birbirini görmesini engeller.

Protokolün Tasarımındaki Boşluk

Adres çözümleme protokolü, yerel ağdaki cihazların birbirinin donanım adresini öğrenmesi için tasarlanmıştır. Tasarım, güvenilir bir ortam varsayımına dayanır ve yanıtların doğruluğunu denetlemez. Bir cihaz, kendisine sorulmamış olsa bile duyuru gönderebilir ve diğerleri bu bilgiyi kabul eder. Bu davranış, protokolün hızlı çalışmasını sağlar ama doğrulama imkânını ortadan kaldırır. Saldırı, tam olarak bu tasarım tercihinden doğar.

Protokolün değiştirilmesi pratik değildir çünkü tüm cihazların desteklemesi gerekir. Bu nedenle savunma, protokolün kendisinde değil çevresindeki katmanlarda kurulur. Anahtar seviyesindeki denetimler, segmentasyon ve şifreleme bu katmanları oluşturur. Her biri saldırının farklı bir aşamasını hedefler. Birlikte uygulandıklarında etkili bir savunma oluştururlar.

Aynı boşluk, adres atama protokolünde de bulunur. Sahte adres atama sunucuları, istemcilere yanlış ağ geçidi bilgisi vererek benzer bir sonuç üretir. Bu nedenle yetkisiz adres atama sunucularının engellenmesi de aynı kapsamda ele alınır. Anahtar seviyesindeki koruma özellikleri bu işlevi sağlar. İki koruma birlikte yapılandırılmalıdır.

Kablosuz Ağlarda Durum

Kablosuz ağlarda saldırı daha kolay uygulanır çünkü fiziksel erişim gerekmez. Ağ kapsama alanında bulunan herhangi bir cihaz, kimlik doğrulaması yaptıktan sonra aynı segmentte yer alır. Bu durum, misafir ağlarında ve ortak alanlarda ciddi risk oluşturur. İstemci izolasyonu özelliği bu riski büyük ölçüde azaltır. Özelliğin etkin olup olmadığı denetlenmelidir.

Kurumsal kablosuz ağlarda sertifika tabanlı kimlik doğrulama kullanılması da önemlidir. Ortak paylaşılan anahtar kullanan ağlarda, anahtarı bilen herkes segmente katılabilir. Sertifika tabanlı yöntemler her cihazı ayrı ayrı doğrular. EAP-TLS bu amaçla kullanılan yöntemlerden biridir. Geçiş, cihaz sertifikası altyapısı gerektirir.

Ayrıca yetkisiz erişim noktalarının tespiti de bu kapsamda ele alınır. Kuruma ait olmayan bir erişim noktasının aynı ağ adıyla yayın yapması, kullanıcıları o noktaya çeker. Sahte erişim noktası tespiti için kablosuz izleme sistemleri kullanılır. Bu sistemler düzenli olarak taranmalıdır.

Şifrelemenin Rolü

Saldırgan trafiği kendi üzerinden geçirse bile, trafik şifreliyse içeriğe erişemez. Bu nedenle tüm iç trafiğin şifrelenmesi güçlü bir telafi edici kontroldür. İç ağda şifresiz protokol kullanımı, çoğu kurumda hâlâ yaygındır. Yönetim arayüzleri, dosya transferleri ve eski uygulamalar bu kategoridedir. Envanter çıkarılarak bu kullanımların kapatılması gerekir.

Şifreleme tek başına yeterli değildir; sertifika doğrulamasının da katı yapılması gerekir. Saldırgan kendi sertifikasını sunduğunda kullanıcı uyarıyı geçebiliyorsa koruma ortadan kalkar. Bu nedenle uyarıların geçilemez olması ve iç sertifika altyapısının doğru kurulması önemlidir. Kendinden imzalı sertifikaların yaygın kullanımı, kullanıcıları uyarı geçmeye alıştırır. Bu alışkanlık ayrı bir risk oluşturur.

İç sertifika altyapısı kurulduğunda tüm cihazlara kök sertifikanın dağıtılması gerekir. Dağıtım merkezî politikayla yapılır ve düzenli olarak doğrulanır. Sertifikaların süresi dolmadan yenilenmesi de planlanmalıdır. Süresi dolan sertifikalar, kullanıcıların uyarı geçmesine yol açar. Otomatik sertifika yönetimi bu yükü azaltır.

Tespit Altyapısının Kurulması

Bu saldırının tespiti için ağ trafiğinin izlenmesi gerekir. Pasif izleme sensörleri, adres eşleşmelerindeki değişiklikleri kaydedebilir. Bu kayıtların merkezî bir platforma aktarılması, kural yazımını mümkün kılar. Kural, aynı adres için farklı donanım adresi görülmesini uyarı olarak üretir. Yanlış pozitifleri azaltmak için yedeklilik protokolleri istisna tanımlanır.

Uç nokta tarafında da tespit yapılabilir. İşletim sistemi, yerel adres tablosundaki değişiklikleri kaydedebilir. Bu kayıtların toplanması, ağ sensörü bulunmayan ortamlarda alternatif sağlar. Ancak kapsama, kayıt toplanan cihazlarla sınırlı kalır. İki yöntemin birlikte kullanılması en iyi sonucu verir.

Privia Security olarak yerel ağ ve kablosuz altyapı yapılandırmalarınıaltyapı ve mimari gözden geçirme kapsamında değerlendiriyoruz.