企业网络的心腹大患ARP欺骗和攻击问题

当研究机构就“谁在组织中负责物联网安全”提出问题时，33%的人选择CIO，15%的受访者表示没有相关职能部门。

优先关注最需要的环节
在报告中，超过50%的IT和安全决策者表示，为了防止物联网安全攻击，他们会优先考虑安全解决方案中的一些关键功能，比如监控异常行为、漏洞管理等。

也有37%的受访者表示，他们并不总是能在实施物联网解决方案之前确定好安全需求。

因此Gartner提出，到2020年，物
联网安全增长的最大抑制因素将归于物联网规划中缺乏优先级，缺乏实施安全的最佳实践和工具。

并且因为这些，包含物联网安全企业、安全标准组织和联盟组织在内的各方，正在着手建立针对物联网安全组件的技术标准，希望打造通用架构或者一致的安全策略，帮助用户优先解决最薄弱的痛点需求。

与专业安全公司紧密合作
未来几年，企业的业务更加趋向云化，黑客、黑产攻击的形式越来越多样，技术手段会越来越强。

所以，阿里巴巴达摩院将“数据安全保护技术加速涌现”列入2019十大科技趋势，一点都不过分。

而且，攻击通常要比防御简单得多。

如果是攻击，只要找一个方式就可以了，但如果是防御，就得想出无数的方法，来应对五花八门的攻击。

在这一点，企业与专业安全公司紧密合作就十分必要，一方面是获得安全防护能力，另一方面是获得必要的安全咨询服务。

最后想说，技术的发展迭代永无止境，人的意识与决策才是影响发展的关键因素。

ARP欺骗和攻击问题，是企业网络的心腹大患，关于这个问题的各种防范措施也层出不穷。

但问题是，真正摆脱ARP问题困扰了吗?从用户那里了解到，虽然尝试过各种方法，但这个问题并没有根本解决。

原因就在于，目前很多种ARP防范措施，一是解决措施的防范能力有限，并不是最根本的办法；二是对网络管理约束很大，不方便、不实用或不具备可操作性；三是某些措施对网络传输的效能有损失，网速变慢、带宽浪费也不可取。

这类通过具体分析普遍流行的4种防范ARP措施，了解为什么ARP问题始终不能根治，并进一步分析在免疫网络的模式下，对ARP攻击是如何彻底根除的，为什么只有免疫网络能够做到。

双绑措施
双绑是在路由器和终端上都进行IP-MAC绑定的措施，它可以对ARP欺骗的两边（伪造网关和截获数据）都具有约束的作用。

这是从ARP欺骗原理上进行的防范措施，也是最普遍应用的办法。

它对付最普通的ARP欺骗是有效的。

但双绑的缺陷在于：
1.在终端上进行的静态绑定，很容易被升级的ARP攻击所捣毁，病毒的一个ARP-d命令，就可以使静态绑定完全失效。

2.在路由器上做IP-MAC表的绑定工作费时费力，是一项繁琐的维护工作。

换个网卡或更换IP，都需要重新配置路由。

对于流动性电脑，这个需要随时进行的绑定工作，是网络维护的巨大负担，网管员几乎无法完成。

3.双绑只是让网络两端的电脑和路由不接收相关ARP 信息，但是大量的ARP攻击数据还能发出，还要在内网传输，大幅降低内网传输效率，依然会出现问题。

因此，虽然双绑曾经是ARP防范的基础措施，但因为防范能力有限、管理太麻烦，现在它的效果越来越有限。

ARP个人防火墙
在一些杀毒软件中加入ARP个人防火墙的功能，它是通过在终端电脑上对网关进行绑定，保证不受网络中假网关的影响，从而保护自身数据不被窃取的措施。

ARP防火墙使用范围很广，有很多人以为有了防火墙，ARP攻击就不构成威胁，其实完全不是那么回事。

ARP个人防火墙也有很大缺
陷：
1.它不能保证绑定的网关一定是正确的。

如果一个网络
■何静企业网络的心腹大患
ARP欺骗和攻击问题
中已经发生了ARP欺骗，有人在伪造网关，那么，ARP个人防火墙就会绑定这个错误的网关，这是具有极大风险的。

即使配置中不默认而发出提示，缺乏网络知识的用户恐怕也无所适从。

2.ARP是网络中的问题，ARP既能伪造网关，也能截获数据，是个“双头怪”。

在个人终端上做ARP防范，而不管网关那端如何，这本身就不是一个完整的办法。

ARP个人防火墙的作用，就是防止自己的数据不会被盗取，而整个网络的问题，如掉线、卡滞等，ARP个人防火墙是无能为力的。

因此，ARP个人防火墙并没有提供可靠的保证。

最重要的是，它是跟网络稳定无关的措施，它是个人的，不是网络的。

VLAN和交换机端口绑定
通过划分VLAN和交换机端口绑定，以图防范ARP，也是常用的防范方法。

做法是细致地划分VLAN，减小广播域的范围，使ARP在小范围内起作用，而不至于发生大面积影响。

同时，一些网管交换机具有MAC地址学习的功能，学习完成后，再关闭这个功能，就可以把对应的MAC和端口进行绑定，避免了病毒利用ARP攻击篡改自身地址。

也就是说，把ARP攻击中被截获数据的风险解除了，这种方法确实能起到一定的作用。

不过，VLAN和交换机端口绑定的问题在于：
1.没有对网关的任何保护，不管如何细分VLAN，网关一旦被攻击，照样会造成全网的掉线和瘫痪。

2.把每一台电脑都牢牢地固定在一个交换机端口上，这种管理太死板，根本不适合移动终端的使用，从办公室到会议室，这台电脑恐怕就无法上网了。

在无线应用下，还是需要其他的办法。

3.实施交换机端口绑定，必定要全部采用高级的网管交换机和三层交换机，整个交换网络的造价大大提高。

因为交换网络本身就是无条件支持ARP操作的，它本身的漏洞造成了ARP攻击的可能，它上面的管理手段不是针对ARP的。

因此，在现有的交换网络上实施ARP防范措施，属于以子之矛攻子之盾，而且操作维护复杂，基本上是个费力不讨好的事情。

PPPoE
网络下面给每一个用户分配一个帐号和密码，上网时必须通过PPPoE认证，这种方法也是防范ARP措施的一种。

PPPoE拨号方式对封包进行了二次封装，使其具备了不受ARP欺骗影响的使用效果，很多人认为找到了解决ARP问题的终极方案。

但其问题主要集中在效率和实用性上面：
1.PPPoE需要对封包进行二次封装，在接入设备上再解封装，必然降低了网络传输效率，造成了带宽资源的浪费，要知道在路由等设备上添加PPPoE Server的处理效能和电信接入商的PPPoE Server可不是一个数量级的。

2.PPPoE方式下局域网间无法互访，在很多网络都有局域网内部的域控服务器、DNS服务器、邮件服务器、OA系统、资料共享和打印共享等，需要有局域网间相互通信的需求，而PPPoE方式使这一切都无法使用，是无法被接受的。

3.不使用PPPoE，在进行内网访问时，ARP的问题依然存在，什么都没有解决，网络的稳定性还是不行。

因此，PPPoE在技术上属于避开底层协议连接，眼不见心不烦，通过牺牲网络效率换取网络稳定。

最不能接受的就是网络只能上网用，内部其他的共享不能在PPPoE下进行。

通过对以上4种普遍的ARP防范方法的分析，可以看出，现有ARP防范措施都存在问题，这也是ARP即使研究很久很透，但依然在实践中无法彻底解决的原因所在。

道高一尺魔高一丈，网络问题必定需要网络的方法去解决，从技术原理上，彻底解决ARP欺骗和攻击，要有3个技术要点：
1.终端对网关的绑定要坚实可靠，这个绑定能够抵制被病毒捣毁；
2.接入路由器或网关要对下面终端IP-MAC的识别始终保证唯一准确；
3.网络内要有一个最可信的机构，提供对网关IP-MAC 最强大的保护，它既能够分发正确的网关信息，又能够对出现的假网关信息立即封杀。

安全厂商们应该从这3个技术要点出发，利用专门的技术解决手段，在现有的网关、交换机、网卡和网线构成的普通交换网络基础上，加入一套安全和管理的解决方案。

这样一来，在普通的网络通信中，就融合了安全和管理的机制，保证了在网络通信过程中具有安全管控的
能力，堵上了普通网络对安全从不设防的先天漏洞，彻底解决这个安全隐患。