ARP ZEHİRLENMESİ

Merhaba

Öncelikle forum kurallarına göre başlık açalım.

İkinci olarak bölüm bölüm network' ten uzaklaştırarak makineleri temizlemeniz en iyi yöntemdir. Aksi halde aktif olarak network e bağlı durumda iken sürekli olarak birbirlerine bulaşacaktır.

Amaçsız bir arp zehirlemesinin mantığı olacağını düşünmüyorum ve bir ihtimal iç atak ile karşı karşıya olabilirsiniz.

Userların pc lerde admin yetkisi olmadığından ve 3rd parti programların yüklü olmadığından emin olun, local ve domain admin şifreleri değiştirin. Sizden başka admin olmadığından emin olun.

ARP konusu daha önce pek çok başlık altında konuşuldu ve bence konuşulan tüm başlıkları incelemeniz size katma değeri yüksek fikirler ve çözümler verecektir. Bu arada clientların her birinde diğer 50 client ın bilgisini arp tablosuna eklerseniz en azından yanılgıya düşüp sahte client üzerinden veri aktarımı yapmaya çalışmazlar, ve önemli user bilgileri ele geçmez ama 3 aya geçen geçmiştir zaten, kolay gelsin.

http://www.cozumpark.com/search/SearchResults.aspx?q=arp&PageIndex=1

Ortama management bir sw koyarak yada zaten var olan sw üzerinde arp inspection gibi özellikleri devreye alarak kesin çözüm üretilebilir.

Normal bir Switch kullanıyorsanız arp poisoning 'idurduramaz. Eser hocamında belirttiği gibi Management bir switch kullanmanız gerekir. Ayrıca sistem ve firewall loglarınızı kontrol etmelisiniz. 3 aydır bu sorun varsa durum kritik olabilir. Öncelikle Local user'larınıza bir göz atın  , içeriden olma ihtimali yüksek.

Merhaba

Asagidaki araca bakabilir ve ilgili dokumanlari inceleyebilirsin.

http://arpon.sourceforge.net/

http://www.darknet.org.uk/2008/06/arpon-arp-handler-detect-and-block-arp-poisoningspoofing/

http://www.olympos.net/blog/cnguru/arp-poisoning-arp-zehirlemesi-137193.html  

Bu kadar uzmanı bir soruda görmek çok güzel [:D]

Cihazların birbirlerine ARp paketi göndermesi gayet normal. Anormal olabilecek durum gönderilen ARP paketlerinde IP adresleri ile ARP adreslerinin eşleşmemesinden olacaktır. Gelen ARP paketlerinde bu şekilde bir sorun yok ise arada bir yerde HUB gibi birşey olması lazım. Networkü dinlemek için HUB benzeri birşey kullanıyorsanız aradan çıkartın. Yönetilebilir bir switch alıp Port Miror yapın.

Ben tekniği bırakalı yıllar oldu ama doğru hatırladığımı sanıyorum; Yanlış anlaşılma olmasın, arp paketleri pc lerin arp tablosunda diğerleri yoksa elbette sorulur gönderilir ama bu pc ler ilk açıldığında uyandırma servisi gibidir kendilerininkini yayınlarlar sorarlar yazarlar ve sonra tablodan okurlar, yani sürekli arp paketi sorulmaz. Hadi diyelim soruldu bu arp paket boyutları switch ya da modemi şişirecek boyutta değildir. Hadi pc arp tablosuna bi sebeple işlenemedi switch tablolarında zaten tutulur yani pc ye kadar gitmez bir defadan sonra, yani sürekli arp normal değildir, özellikle network de kasılma var ise. Diğer yandan eşleşmeme durumuna haliyle katılmamak elbette mümkün değil.